thinkphp 6.x 的 csrf token 验证默认关闭，需手动配置注解、中间件或调用 validatetoken()；仅对非 get 请求生效，支持表单字段或 x-csrf-token 请求头读取，可自定义名称、存储方式及缓存驱动。
Token验证默认是否开启？
ThinkPHP 6.x 的 CSRF 防护（即 token 验证）默认是关闭的，不会自动插入或校验 __token__ 字段。你看到表单里有 __token__，大概率是因为手动调用了 token() 或开启了模板自动注入（如使用了 {:token()}），而不是框架全局拦截生效。
真正起作用的校验逻辑，必须显式配置中间件或控制器方法级注解，否则即使前端传了 token，后端也完全不检查。
怎么在控制器里启用 token 校验？
最直接的方式是在具体方法上加 @ValidateToken 注解（TP6.1+），或者手动调用 $this->validateToken()：
#[ValidateToken]
public function submit()
{
return 'ok';
}
注意：@ValidateToken 是中间件驱动的，需确保 app/middleware.php 中已注册 think\middleware\ValidateToken，且该中间件在路由调度链中被加载（默认已配好）。
常见错误现象：Token error 报错但没定位到哪一行——其实是中间件抛出的异常，不是你写的代码里出的；要查日志或捕获 ValidateTokenException。
- 仅对 POST/PUT/DELETE 等非 GET 请求生效
- token 值默认从
__token__表单字段或X-CSRF-TOKEN请求头读取 - 若用 JSON 提交，得把 token 放在请求头里，不能塞进 body
如何自定义 token 名称和存储方式？
token 默认存在 session 里，键名为 think_token，表单字段名固定为 __token__。改名需在 config/app.php 里调整：
'token_name' => 'csrf_token', 'token_type' => 'session', // 可选 session / cache / cookie 'token_cache' => 'redis', // 当 type=cache 时指定缓存驱动
性能影响：用 cache 类型可避免 session 锁，适合高并发场景；但要注意缓存过期时间（默认 3600 秒），别设太短导致用户连续操作失败。
容易踩的坑：token_type 设成 cookie 后，token 不再绑定 session ID，安全性下降，不建议生产环境用。
为什么 Ajax 请求总校验失败？
因为默认只从表单字段读 token，而 Ajax 很少带 __token__ 字段。解决方案是统一走请求头：
- 前端发请求前，先 GET 一次
/api/token（你自定义的接口）拿到 token 值 - 后续所有 POST 请求带上
X-CSRF-TOKEN: xxx头 - 后端确保
config/app.php中'token_header' => 'X-CSRF-TOKEN'
另一个更省事的做法：在模板里输出 token 到全局 JS 变量，比如：
<script>window.CSRF_TOKEN = "<?= token() ?>";</script>
然后 Axios 拦截器自动注入头。注意：这个 token() 函数每次调用都会刷新 token，别在多个地方重复调，否则旧 token 立刻失效。
复杂点在于 token 生命周期和页面多开场景——用户如果开了两个标签页，其中一个提交后，另一个页的 token 就作废了，得配合前端重试逻辑或 silent refresh。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
