Yii2中CSRF Token过期致请求错误，如何延长其有效期？

我来帮你搞定这个Yii2里CSRF Token过期的问题——不用禁用验证也能实现长时间后提交表单仍能通过验证，主要有几个可行的方向，你可以根据自己的业务场景选择：

1. 调整Session有效期（最基础的方法） #

CSRF Token默认存储在Session中，Session过期后Token自然失效。你可以直接在配置文件里延长Session的有效期：

• 打开config/web.php，找到components下的session配置，设置timeout参数为你需要的秒数，比如设置为1天（86400秒）：

  'components' => [
      'session' => [
          'timeout' => 86400,
      ],
      // 其他组件配置...
  ]
  

• 这个方法简单直接，但会影响整个应用的Session有效期，如果你不想全局修改Session，就看下面的方案。

2. 单独延长CSRF Token的Cookie有效期 #

Yii2允许单独配置CSRF Token对应Cookie的过期时间，无需修改全局Session：

• 在config/web.php的request组件里配置csrfCookie的expire属性，比如设置为7天：

  'components' => [
      'request' => [
          'csrfCookie' => [
              'expire' => time() + 604800, // 7天对应的秒数
              // 保留安全配置，比如httpOnly、secure（HTTPS站点建议开启）
              'httpOnly' => true,
              'secure' => YII_ENV_PROD,
          ],
      ],
      // 其他组件配置...
  ]
  

• 注意：如果Session本身的有效期比这个Cookie短，当Session过期后，即使Cookie里的Token还存在，验证还是会失败。所以用这个方法时，最好把Session有效期调整到不短于CSRF Cookie的有效期。

3. 前端定时刷新CSRF Token（适合长时间停留表单场景） #

如果用户需要长时间停留在表单页面（比如填写复杂的大表单），可以用JS定时从后端获取新的Token，自动更新页面里的CSRF字段：

• 后端写一个简单接口用于刷新Token：

  public function actionRefreshCsrf()
  {
      Yii::$app->response->format = \yii\web\Response::FORMAT_JSON;
      // 生成并返回新的CSRF Token
      return ['csrfToken' => Yii::$app->request->getCsrfToken(true)];
  }
  

• 前端添加定时器，每隔一段时间（比如30分钟）请求该接口，更新表单里的_csrf输入框：

  // 每30分钟刷新一次Token（1800000毫秒）
  setInterval(() => {
      fetch('/site/refresh-csrf')
          .then(res => res.json())
          .then(data => {
              const csrfInput = document.querySelector('input[name="_csrf"]');
              if (csrfInput) csrfInput.value = data.csrfToken;
          })
          .catch(err => console.error('刷新CSRF Token失败:', err));
  }, 1800000);
  

• 这个方法能保证用户长时间填写表单时，Token始终有效，不会因停留过久导致提交失败。

注意事项 #

• 延长CSRF Token有效期会降低一定安全性，不要设置过长，根据业务需求平衡安全与用户体验。
• 配置CSRF Cookie时，务必确保httpOnly和secure属性正确配置，防范XSS攻击。
• 修改配置后，记得清除浏览器缓存和Cookie，测试新配置是否生效。

内容的提问来源于stack exchange，提问作者Nageen