Yii2基础框架支付网关跳转后用户会话丢失需重新登录问题求解

• 调整Cookie SameSite属性配置（HTTPS站点优先使用）
  目前主流浏览器默认Cookie的SameSite属性为Lax，跨站POST跳转请求不会携带站点Cookie，是该问题最常见诱因，可在config/web.php的components节点下修改配置：

'request' => [
    'cookieValidationKey' => '你原有配置的校验Key',
    'csrfCookie' => [
        'httpOnly' => true,
        'secure' => true, // SameSite=None必须配合HTTPS使用
        'sameSite' => \yii\web\Cookie::SAME_SITE_NONE,
    ],
],
'session' => [
    'name' => '你的会话名',
    'cookieParams' => [
        'httpOnly' => true,
        'secure' => true,
        'sameSite' => \yii\web\Cookie::SAME_SITE_NONE,
    ],
],

• 增加token透传逻辑规避会话依赖
  如果站点暂时不支持HTTPS或存在低版本浏览器兼容问题，可通过透传校验token的方式恢复登录态：

1. 发起支付前生成唯一临时token，将token与当前用户ID、订单ID关联存入缓存，设置15分钟有效期
2. 将token作为参数拼接在支付回调URL中，传给支付网关
3. 用户跳转回站点后，先校验URL携带的token有效性，确认有效后调用Yii::$app->user->login($user, 3600 * 24)手动恢复用户登录态

• 豁免回调路由的CSRF校验
  支付网关回调请求不会携带站点CSRF令牌，会被Yii2默认拦截导致会话异常，可在对应控制器中添加如下配置：

public function beforeAction($action)
{
    // 替换为实际的回调方法名
    if (in_array($action->id, ['payReturn', 'payNotify'])) {
        $this->enableCsrfValidation = false;
    }
    return parent::beforeAction($action);
}

注意：需要确保支付回调的域名和用户访问站点的域名完全一致，包括HTTP/HTTPS协议、www前缀、端口号，域名不匹配会导致Cookie无法正常读取。

内容的提问来源于stack exchange，提问作者S. Gandhi