Yii 2加载Facebook Canvas应用遇400错误：无法验证数据提交

看起来你遇到的这个400错误其实是Yii2的CSRF验证拦截导致的，而不是Facebook SDK本身的问题——Facebook加载Canvas应用时会通过POST请求访问你的Yii2页面，但这个请求不会携带Yii2生成的CSRF令牌，直接触发了Yii2的默认CSRF验证机制，抛出了“Unable to verify your data submission”的错误。下面是分步解决方案：

1. 优先禁用对应动作的CSRF验证 #

在处理Facebook Canvas请求的控制器动作开头，直接禁用CSRF验证（仅针对这个动作，不会影响其他页面的安全性）：

public function actionFacebook() { // 替换成你实际的动作名称
    // 禁用CSRF验证，因为Facebook Canvas请求不会携带Yii2的CSRF token
    Yii::$app->request->enableCsrfValidation = false;

    // 下面保留你原来的Facebook SDK代码
    $fb = new \Facebook\Facebook([ 
        'app_id'=>$appId, 
        'app_secret'=>$appSecret, 
        'default_graph_version'=>'v2.5'
    ]);
    $helper = $fb->getCanvasHelper(); 
    // ... 剩余代码保持不变
}

或者用更规范的方式，在控制器的behaviors方法中给该动作添加CSRF例外：

public function behaviors() {
    $behaviors = parent::behaviors();
    // 针对处理Canvas的动作禁用CSRF验证
    if (isset($behaviors['csrf'])) {
        $behaviors['csrf']['except'][] = 'facebook'; // 替换成你的动作名
    }
    return $behaviors;
}

2. 修正Facebook登录回调URL #

注意到你代码中的登录回调URL用的是https://apps.facebook.com/fb-app/，这是错误的！Facebook OAuth授权后的回调应该指向你的Yii2应用的实际处理URL，而不是Facebook的Canvas页面。比如：

// 替换成你自己的Yii2应用URL，比如https://your-domain.com/facebook/callback
$loginUrl = $helper->getLoginUrl('https://your-yii-app.com/facebook', $permissions);

同时要确保这个URL已经添加到Facebook开发者后台的「Valid OAuth Redirect URIs」列表中（在应用设置的「Facebook Login」板块下）。

3. 验证Facebook签名验证的正确性 #

如果禁用CSRF后仍然有问题，检查以下几点：

• 确认$appSecret完全正确，没有多余空格或拼写错误
• 检查服务器时间是否和网络时间同步（Facebook的signed_request验证依赖时间，时间差过大可能导致验证失败）
• 确保Facebook后台的「Canvas URL」和「Secure Canvas URL」与你的Yii2应用URL完全一致（包括https和路径）

4. 调试建议 #

可以在动作开头添加日志，确认请求是否真的到达你的代码：

Yii::info('Received Facebook Canvas request: ' . print_r($_REQUEST, true), 'facebook');

如果日志里看不到这条记录，说明请求被Yii2的CSRF验证直接拦截了，回到步骤1确认配置。

内容的提问来源于stack exchange，提问作者Kevin Kaburu