如何解决Yii2中HTTP 400 - 无法验证数据提交的错误？

嘿，我之前维护Yii 2.0.12基础版项目时，也碰到过这种“明明CSRF配置、提交字段都没问题，但还是报400”的糟心情况！结合你的环境（PHP5.6、Ubuntu），给你几个针对性的排查方向：

• 检查CSRF Cookie的SameSite配置
  Yii 2.0.12的默认Cookie SameSite规则和部分浏览器的安全策略不兼容，尤其是你关闭了主机安全固件后，浏览器可能直接拦截CSRF Cookie。可以在config/web.php的request组件里手动指定：

  'components' => [
      'request' => [
          'enableCsrfValidation' => true,
          'csrfCookie' => [
              'httpOnly' => true,
              'sameSite' => 'Lax', // HTTPS环境可配合添加 'secure' => true
          ],
      ],
      // ...其他组件配置
  ],
  

• 确认请求Content-Type是否符合要求
  如果是AJAX请求用application/json提交，Yii 2.0.12不会自动解析POST里的CSRF令牌，这时候需要在请求头里手动带上X-CSRF-Token字段，值对应页面的_csrf隐藏字段内容。如果是表单提交，确保enctype是application/x-www-form-urlencoded或multipart/form-data，不要用JSON类型提交表单数据。

• 排查PHP会话存储权限
  Ubuntu下PHP5.6的会话默认存在/var/lib/php/sessions，如果这个目录权限异常（比如apache/nginx运行用户没有读写权限），会话会失效，导致CSRF令牌和会话存储的不匹配。可以用命令排查：

  ls -ld /var/lib/php/sessions
  

  确保所属用户是www-data，权限至少为700。

• 临时验证是否为版本特定bug
  Yii 2.0.12确实存在一个小bug：当请求的Referer头为空或格式异常时，会误判为CSRF攻击。你可以在目标控制器里临时放宽验证（仅用于排查，不要长期开启）：

  public function beforeAction($action)
  {
      if (parent::beforeAction($action)) {
          // 替换成你出问题的动作ID
          if ($action->id == 'your-target-action') {
              Yii::$app->request->enableCsrfValidation = false;
          }
          return true;
      }
      return false;
  }
  

  如果临时关闭后请求正常，就说明是这个版本的Referer校验逻辑问题，可以考虑升级Yii版本或者重写CSRF验证逻辑。

• 确保CSRF令牌未被缓存
  如果你的页面用了缓存组件，要保证_csrf字段是动态生成的——必须用<?= Html::csrfInput() ?>生成隐藏字段，不要静态写死。同时用浏览器开发者工具确认：请求提交的_csrf值和页面<meta name="csrf-token">的内容完全一致。

内容的提问来源于stack exchange，提问作者Juan Pablo Moreno Martín