Drupal 7中CSRF验证失败问题求助

我之前做前后端分离的Drupal 7项目时，也碰到过几乎一模一样的问题——Postman里操作完全正常，但AngularJS前端就一直报CSRF验证失败。结合你的描述，给你几个实用的排查和解决方向：

1. 确保CSRF令牌的正确获取与传递 #

Drupal 7的CSRF令牌不是固定值，登录后必须通过services/session/token端点获取有效令牌，并且所有非GET请求（POST/PUT/DELETE）都要在请求头里带上X-CSRF-Token。Postman可能会自动帮你处理令牌的携带，但AngularJS需要手动配置：

• 登录成功后，立即发起GET请求到/services/session/token（记得加withCredentials: true），把返回的令牌存在全局服务里；
• 用Angular的HTTP拦截器，给所有需要验证的请求自动添加X-CSRF-Token头，示例代码：

angular.module('yourApp')
.factory('csrfInterceptor', ['$q', 'csrfTokenStore', function($q, csrfTokenStore) {
  return {
    request: function(config) {
      // 跳过登录请求（还未获取令牌）
      if (!config.url.includes('/user/login') && ['POST', 'PUT', 'DELETE'].includes(config.method)) {
        config.headers['X-CSRF-Token'] = csrfTokenStore.get();
        config.withCredentials = true;
      }
      return config || $q.when(config);
    }
  };
}])
.config(['$httpProvider', function($httpProvider) {
  $httpProvider.interceptors.push('csrfInterceptor');
}]);

2. 停止手动拼接Cookie，让浏览器自动处理会话 #

你提到的“手动组合Session Name和Session ID成Cookie请求头”是个隐患——Drupal的Session Cookie默认带有HttpOnly属性，手动拼接的Cookie头浏览器可能不认可，而且容易漏掉SameSite、Domain等关键属性，导致会话不一致。正确的做法是：

• 登录请求时设置withCredentials: true，让浏览器自动保存Drupal返回的Session Cookie；
• 后续所有请求都带上withCredentials: true，浏览器会自动把有效的Session Cookie传递给Drupal，这样会话才能和Postman里保持一致。

3. 检查Drupal Services模块的跨域配置（前后端分离场景） #

如果你的AngularJS前端和Drupal后端不在同一个域名下，必须在Drupal里配置允许跨域带凭证的请求：

• 确保Services模块的端点设置中，Access-Control-Allow-Origin设为前端的域名（不要用*，因为带凭证的请求不允许通配符）；
• 开启Access-Control-Allow-Credentials为true；
• 允许需要的请求方法（POST/PUT/DELETE等）和请求头（X-CSRF-Token）。

4. 查看Drupal日志定位具体原因 #

如果以上步骤都试过还是不行，去Drupal的Watchdog日志（/admin/reports/dblog）里找CSRF相关的错误记录，里面会告诉你具体是令牌无效、会话不匹配还是其他问题，比如：

• 提示“CSRF token invalid”：说明令牌没传对或者过期；
• 提示“Session has expired”：说明会话Cookie没正确传递，前后请求的会话不一致。

先从这几个方向排查，大概率能解决你的问题——我当时就是因为没配置拦截器自动带CSRF令牌，加上跨域没开凭证，折腾了好一阵才搞定。

内容的提问来源于stack exchange，提问作者ZombieShellback