Yii2 Advanced模板数据提交报错：Unable to verify your data submission

根据你描述的情况——首次提交正常但几秒后二次操作就出现Unable to verify your data submission，且已经添加了Html::csrfMetaTags()，那大概率是Session存储、CSRF Cookie配置或者URL匹配的问题，以下是针对性的排查和解决步骤：

1. 检查Session目录权限与配置 #

Yii的CSRF令牌是存储在Session中的，如果Session无法正常读写，二次请求时就找不到有效的令牌。

• 验证runtime目录权限：你的Session配置中savePath指向backend/runtime，请确保这个目录对Web服务器用户（比如www-data、apache）有读写权限。可以执行命令：

  chmod -R 775 backend/runtime
  chown -R www-data:www-data backend/runtime # 根据你的服务器用户调整
  

• 简化Session配置：建议去掉手动设置的savePath，让Yii自动处理（默认会使用backend/runtime/sessions目录，更稳定）：

  'session' => [
      'name' => 'regergwer2343423f238h923f9h9234', // 保持唯一名称即可
  ],
  

2. 配置后端专属的CSRF Cookie #

前后端共用域名时，CSRF Cookie可能出现冲突，导致后端无法正确读取令牌。在backend/config/main.php的components中添加request组件配置，限定CSRF Cookie的路径：

'request' => [
    'csrfParam' => '_csrf-backend', // 后端专属的CSRF参数名
    'csrfCookie' => [
        'httpOnly' => true,
        'path' => '/backend/', // 匹配后端的访问路径，避免和前端Cookie混淆
        'sameSite' => 'Lax', // 提升安全性，同时兼容大部分场景
    ],
],

同时，你的identityCookie路径可以调整为/backend/，进一步隔离前后端的Cookie：

'user' => [
    'identityClass' => 'common\models\User',
    'enableAutoLogin' => true,
    'identityCookie' => [
        'name' => '_backendUser',
        'path' => '/backend/', // 限定在后端路径
    ],
],

3. 修复URL配置中的Request初始化问题 #

你手动创建了Request实例来替换baseUrlFront和scriptUrlFront，这可能干扰Yii默认的Request组件初始化，导致CSRF验证时的URL不匹配。建议删除手动创建的Request代码，改用组件配置：

// 删除这段代码：
// $request = new Request();
// $baseUrlFront = str_replace('/backend/web', '/frontend/web', $request->getBaseUrl());
// $scriptUrlFront = str_replace('/backend/web', '/frontend/web', $request->getScriptUrl());

// 改为在components中配置request和urlManager：
'components' => [
    'request' => [
        'baseUrl' => '/backend', // 根据你的实际后端访问路径设置
    ],
    'urlManagerFront' => [
        'class' => 'yii\web\urlManager',
        'baseUrl' => '/frontend',
        'scriptUrl' => '/frontend/web/index.php',
        'enablePrettyUrl' => true, // 如果开启了伪静态
        'showScriptName' => false,
    ],
    // ...其他组件
],

4. 确保表单正确携带CSRF令牌 #

• 普通HTML表单：必须使用Yii的ActiveForm或者Html::beginForm()生成表单，Yii会自动插入隐藏的CSRF字段。如果是手动编写的表单，需要手动添加：

  <input type="hidden" name="<?= Yii::$app->request->csrfParam ?>" value="<?= Yii::$app->request->csrfToken ?>">
  

• AJAX请求：需要在请求头中携带X-CSRF-Token，值来自页面的meta标签：

  const csrfToken = document.querySelector('meta[name="csrf-token"]').content;
  fetch('/your-backend-url', {
      method: 'POST',
      headers: {
          'X-CSRF-Token': csrfToken,
          'Content-Type': 'application/json'
      },
      body: JSON.stringify(yourData)
  });
  

5. 查看Debug日志定位具体原因 #

如果以上步骤都没解决问题，开启Yii的Debug模式查看详细错误日志：

1. 在backend/config/main-local.php中启用debug模块：

   'modules' => [
       'debug' => [
           'class' => 'yii\debug\Module',
           'allowedIPs' => ['127.0.0.1', 'your-ip'],
       ],
   ],
   

2. 访问后端时打开Debug面板，查看Request和Log标签，找到CSRF验证失败的具体原因（比如令牌不匹配、Session未找到等）。

内容的提问来源于stack exchange，提问作者Mhmd Backer Shehadi