Yii2中Ajax POST请求始终重定向至登录页问题求助

根据你描述的情况——已经给update和test动作开放了匿名访问，但POST请求仍被重定向到登录页，GET请求却正常——这大概率是CSRF令牌验证失败导致的。Yii框架默认会对所有POST请求强制进行CSRF验证，哪怕是允许匿名访问的动作也不例外，而GET请求不会触发这个验证逻辑。

下面是具体的排查和解决步骤：

1. 先确认CSRF验证是否为问题根源 #

你可以临时关闭对应控制器的CSRF验证来测试：

public function behaviors() {
    return [
        'access' => [
            'class' => AccessControl::className(),
            'rules' => [
                ['actions' => ['update', 'test'], 'allow' => true],
            ],
        ],
        // 临时排除指定动作的CSRF验证
        'csrf' => [
            'class' => CsrfFilter::className(),
            'except' => ['test', 'update'],
        ],
    ];
}

如果关闭后POST请求不再被重定向，那就可以确定是CSRF验证的问题。

2. 安全的解决方案：在Ajax请求中携带CSRF令牌 #

关闭CSRF验证会带来安全风险，更推荐的做法是在Ajax请求里带上CSRF令牌。Yii已经自动在页面的<head>中生成了CSRF元标签，你可以这样获取并携带：

原生JavaScript示例 #

// 获取页面中的CSRF令牌
const csrfToken = document.querySelector('meta[name="csrf-token"]').getAttribute('content');

fetch('/your-controller/test', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/json',
        'X-CSRF-Token': csrfToken
    },
    body: JSON.stringify({/* 你的请求数据 */})
})
.then(res => res.json())
.catch(err => console.error('请求出错:', err));

jQuery示例 #

const csrfToken = $('meta[name="csrf-token"]').attr('content');

$.ajax({
    url: '/your-controller/test',
    type: 'POST',
    headers: {'X-CSRF-Token': csrfToken},
    data: {/* 你的请求数据 */},
    success: function(data) {
        // 处理响应结果
    }
});

3. 额外排查：检查AccessControl规则顺序 #

如果上面的方法没用，要确认你的AccessControl规则顺序是否正确。Yii的规则是从上到下匹配的，如果有优先级更高的规则（比如默认禁止所有未授权用户）放在了前面，可能会覆盖你的匿名访问配置。确保允许匿名的规则是第一个被匹配的：

public function behaviors() {
    return [
        'access' => [
            'class' => AccessControl::className(),
            'rules' => [
                // 先定义允许匿名访问的规则
                ['actions' => ['update', 'test'], 'allow' => true],
                // 再定义其他限制规则
                ['allow' => false, 'roles' => ['?']],
            ],
        ],
    ];
}

4. 确认请求方法是否正确 #

有时候前端代码可能不小心写错了请求类型，或者中间代理服务器修改了请求方法，你可以在actionTest里先打印请求方法确认：

public function actionTest() {
    var_dump(Yii::$app->request->method); // 确认是否为POST
    // 其他业务代码
}

内容的提问来源于stack exchange，提问作者user9256803