CSRF是什么，Yii2中如何防范它？

什么是跨站请求伪造攻击？在Yii2中，有哪些方法可以预防这种攻击？ CSRF（Cross-Site Request Forgery）是一种跨站请求伪造攻击，攻击者利用受害者在已经登录了某个网站的情况下，通过其他网站向该网站发送请求，从而实现攻击目的。在Yii2中，可以通过以下几种方法来防范CSRF攻击：

1. 使用Yii2的CSRF验证功能，在表单提交时生成一个随机令牌，并将其发送到后端进行验证。可以通过在控制器中使用yii\web\Controller类来启用CSRF验证：

use yii\web\Controller;

class SiteController extends Controller
{
    public $enableCsrfValidation = true;
}

2. 使用Yii2中的yii\helpers\Html类生成带有CSRF令牌的表单元素。例如：

use yii\helpers\Html;

// 在视图文件中生成表单
echo Html::beginForm(['/site/login'], 'post');
echo Html::textInput('username');
echo Html::passwordInput('password');
echo Html::checkbox('rememberMe');
echo Html::submitButton('Login');
echo Html::endForm();

3. 在Yii2中，如果需要在AJAX请求中使用CSRF令牌，可以使用yii\web\Request类的getCsrfToken()方法生成CSRF令牌，并将其作为参数传递给AJAX请求。例如：

$.ajax({
    url: '/site/ajax',
    type: 'post',
    data: {
        _csrf: yii.getCsrfToken(),
        // 其他参数
    },
    success: function (data) {
        // 处理返回的数据
    }
});

综上所述，在Yii2中防范CSRF攻击的方法包括启用CSRF验证、使用带有CSRF令牌的表单元素以及在AJAX请求中传递CSRF令牌。