yii2中无论是用测试工具postman、用命令行curl请求、ajax请求总是会得到http400:bad request的错误；而如果用web网页方式get访问(去除verbfilter的post限制)，是正常的
通过查阅资料发现，这是crsf验证的原因
原理：
cookie hashing， 让服务器发送给客户端的所有表单中都标示一个随机值_csrf，并同时在客户端的cookie中保存一个相关联的token;
验证的时候，服务端每次对接收到的请求_post()过来的一个input hidden _csrf跟客户端的cookie中的token进行对照验证
攻击者攻击的原理是利用了客户端的cookie，但是攻击者是得不到cookie具体的内容的，他只是利用(这里抛开xss攻击的可能性,由于用户的cookie很容易由于网站的xss漏洞而被盗取，这就另外的1%。一般的攻击者看到有需要算hash值，基本都会放弃了)；所以攻击者没法在攻击url中加入token，这样就无法通过验证。
这可能是最简单的解决方案了，因为攻击者不能获得第三方的cookie(理论上)，所以表单中的数据也就构造失败了
解决方案：
1.禁用CRSF验证（不推荐）：'enableCsrfValidation' => false, 'components' => [ 'request' => [ 'cookieValidationKey' => '83r5HbITBiMfmiYPOZFdL-raVp4O1VV4', 'enableCookieValidation' => false, 'enableCsrfValidation' => false, ]
2.数据提交时，携带 csrf 信息
a.调用组件ActiveForm时，提交数据会自动带上_csrf
b.ajax提交时可以在头部获取到csrf信息（如下图）,与要提交的数据一并提交即可
c.也可以通过php获取csrf信息
Yii::$app->request->csrfParam;(获取csrf-param) Yii::$app->request->csrfToken;(获取csrf-token)
以上就是Yii2.0防御csrf攻击方法的内容，更多相关内容请关注PHP中文网（www.php.cn）！
