request => [
	'enableCookieValidation' => true,
]

如果開啟csrf，因為這是全域性的，所以在任何的post請求都會要求認證，所以我們在post資料的時候，就必須設定csrf的資料隱藏在表單中。

<input type="hidden" name="_csrf" id='csrf' value="<?= Yii::$app->request->csrfToken ?>">

所以無論是post表單還是ajax的post過去，都必須設定csrfToken這個值，並且要提交時要post過去。如果沒有的話，就會發生錯誤，無法認證通過。

（2）如果想在某些控制器不想使用csrf驗證的話，又該如何做呢？
方法很簡單，直接設定

public $enableCsrfValidation = false ,

因為這個Controller繼承與yii\web\Controller ,將相當於繼承於enableCsrfValidation這個屬性，那麼在建立控制器例項時，就會在這個控制器關閉csrf功能，訪問這個控制器的post的方式時，也就不會進行驗證。
舉一個例子，比如我們開發API的時候,微信那邊的介面需要post資料給我們的介面時，由於微信端不知道csrfToken,所以訪問post資料的時候，如果開啟全域性csrf的話，那肯定不能訪問成功的。所以這時就需要關閉這個API 的csrf。

3）如果要具體關閉至某一個action呢？
有時在一些功能中，我們需要在某一個action中關閉csrf驗證。我們知道對於csrf的驗證是在beforeAction($Action)中實現的，下面我們可以在Controller中重寫beforeAction($action)這個方法

public function beforeAction($action) {

	$currentaction = $action->id;

	$novalidactions = ['dologin'];

	if(in_array($currentaction,$novalidactions)) {

    	$action->controller->enableCsrfValidation = false;
    }
	parent::beforeAction($action);

	return true;
}

$action->controller->enableCsrfValidation = false
接下來再執行parent::beforeAction($action)，此時傳入來的$action裡的controller例項的enableCsrfValidation已變為false。
最後一定要返回true，否則的話，不會往下執行action操作的。

（4）如果區域性開啟呢？
首先在配置檔案要設定
request => [
'enableCookieValidation' => false,
]
全域性不使用csrf。

(a)要在控制器中開啟，只需要設定
public $enableCsrfValidation = true
則整個控制器都會開啟

(b)要在action中開啟
public function beforeAction($action) {
$currentaction = $action->id;
$accessactions = ['dologin'];
if(in_array($currentaction,$accessactions)) {
              $action->controller->enableCsrfValidation = true;
 }

        parent::beforeAction($action);
       return true;
}

$accessactions是需要開啟csrf的action的名稱，將設定$action->controller->enableCsrfValidation = true,當前操作可以開啟csrf。

友情推薦

本人已開源基於swoole擴充套件實現的輕量級框架

https://github.com/bingcool/swoolefy