如何防止AJAX请求破坏CodeIgniter 4的Session？

1. 修复AJAX请求的基础错误 #

你的AJAX代码存在几处明显问题：

• 请求方法笔误：type: "P" 应改为 type: "POST"
• 请求URL与控制器方法名不匹配：AJAX中调用的get_nilai对应控制器的get_nilaii，需统一为同一名称（比如都改为get_nilai）
• 已指定dataType: 'json'，success回调无需再执行JSON.parse(data)，jQuery会自动解析JSON响应

修复后的AJAX代码：

$('#penilaian_jenis').on('change', function() {
    $.ajax({
        type: "POST",
        url: '<?= base_url('guru/penilaian/get_nilai') ?>',
        data: {
            'kelas_id': '<?= $kelas->kelas_id ?>',
            'kd_id': '<?= $kd->kd_id ?>',
            'penilaian_jenis': $('#penilaian_jenis').val(),
            '<?= csrf_token() ?>': '<?= csrf_hash() ?>' // 新增CSRF token字段
        },
        dataType: 'json',
        success: function(data) {
            alert(data);
        }
    })
})

2. 处理CodeIgniter 4的CSRF保护 #

CodeIgniter4默认开启CSRF保护，AJAX请求必须携带CSRF token，否则会触发验证失败，进而导致Session状态异常。上述代码已添加对应框架生成的token名称和哈希值。

若需全局处理AJAX的CSRF，可在页面<head>中添加全局配置：

<script>
    var csrfTokenName = '<?= csrf_token() ?>';
    var csrfHash = '<?= csrf_hash() ?>';
</script>

后续所有AJAX请求都可统一携带该token，避免重复编写。

3. 修正控制器方法配置 #

修改控制器方法名与AJAX的URL匹配，同时确保方法仅接受POST请求（若控制器继承BaseController，需配置$allowedMethods）：

public function get_nilai()
{
    // 限制仅接受POST请求
    if (!$this->request->is('post')) {
        return $this->failMethodNotAllowed(['POST']);
    }
    
    echo json_encode('success');
}

若控制器存在$allowedMethods属性，需添加对应规则：

protected $allowedMethods = [
    // 其他方法配置...
    'get_nilai' => ['post']
];

4. 排查Session核心配置 #

检查app/Config/App.php中的Session配置，确认：

• $sessionDriver设置正确（如'CodeIgniter\Session\Handlers\FileHandler'）
• $sessionCookieName无命名冲突
• $sessionExpiration设置合理，避免Session过早过期
• $sessionSavePath目录存在且具备写入权限

同时确保AJAX请求与页面同域，避免跨域导致Session Cookie无法正常携带。

5. 避免Session意外修改 #

检查全局过滤器或其他控制器代码，确保没有在AJAX请求流程中意外调用session()->set()、session()->destroy()等修改Session的方法，防止登录状态被覆盖或清除。

内容的提问来源于stack exchange，提问作者Krisan Paulino