Yii2 CSRF验证失效：复制表单提交未被拦截

这情况我之前排查过类似的，大概率是CSRF token的绑定逻辑或者验证环节出了问题，咱们一步步拆解：

可能的问题点 #

• Token未与用户会话强绑定：正常来说，CSRF token应该和当前用户的session一一对应，每次登录或创建新会话时都生成唯一的token。如果你复制的旧token在重新登录后依然有效，先对比两次登录后页面源码里的_csrf值——如果两次完全相同，那肯定是系统生成token时没有关联用户会话（比如用了固定值、或基于非用户唯一标识生成）。
• 旧Token未在退出时失效：如果服务器没有在用户退出登录时销毁对应的CSRF token（比如缓存里的token没删除），那之前的token可能还在有效列表中，重新登录后依然被认可。
• 服务器端验证逻辑漏洞：虽然页面里有_csrf字段，但服务器可能只检查了字段是否存在，而没有验证这个token是否属于当前登录用户的会话；或者这个表单提交的路由被意外加入了CSRF验证豁免列表。
• 浏览器/环境干扰：如果你的本地HTML提交时，请求里的_csrf是新的而非你复制的旧值，可能是浏览器插件或本地脚本自动替换了token——这种情况要抓包确认实际提交的参数。

排查步骤 #

1. 对比Token值：分别在两次登录后查看页面源码中的_csrf，确认是否每次登录都生成新值。
2. 抓包验证提交参数：用本地HTML提交时，抓包查看请求中的_csrf参数是旧的还是新的。如果是旧值但服务器通过了，直接检查服务器端的CSRF验证代码，看是否缺失了“token与当前会话匹配”的校验逻辑。
3. 测试旧Token有效性：退出登录后，用旧的_csrf尝试提交请求，如果依然能成功，说明服务器在用户退出时没有失效对应的token。
4. 检查路由豁免配置：确认表单提交的路由是否被排除在CSRF验证之外（比如某些框架会给特定API路由关闭验证）。

核心问题本质是服务器端没有把CSRF token和当前用户会话做强绑定，或者验证环节缺失了关键步骤。从抓包和对比token开始排查，很快就能定位到根源。

内容的提问来源于stack exchange，提问作者Anil Kumar