Yii2中如何处理跨站请求伪造

在Yii2中处理跨站请求伪造（CSRF）主要涉及到配置和验证两个方面。Yii2框架已经内置了对CSRF保护的支持，你只需要进行相应的配置即可启用它。

1. 配置CSRF保护：

在Yii2的配置文件（例如：config/web.php）中，找到’components’部分，设置’request’组件的’enableCsrfProtection’属性为true，以启用CSRF保护。

'components' => [
    // ...
    'request' => [
        'enableCsrfProtection' => true,
    ],
    // ...
],

2. 在表单中添加CSRF令牌：

在需要保护表单提交的地方，添加一个隐藏的输入字段，用于存储CSRF令牌。Yii2会自动生成这个令牌并将其存储在用户的会话中。例如：

<form action="/your-action" method="post">
    <!-- 其他表单字段 -->
    <input type="hidden" name="_csrf" value="<?php echo Yii::$app->request->csrfToken; ?>">
    <button type="submit">提交</button>
</form>

3. 验证CSRF令牌：

当用户提交表单时，Yii2会自动验证CSRF令牌是否有效。如果令牌无效或已过期，Yii2将抛出一个异常，你可以在控制器中捕获这个异常并处理它。例如：

use yii\web\HttpCsrfException;

public function actionYourAction()
{
    try {
        // 处理表单提交
    } catch (HttpCsrfException $e) {
        // 处理CSRF异常，例如显示错误消息
        return $this->render('your-view', [
            'error' => 'CSRF验证失败，请重新提交表单。',
        ]);
    }
}

通过以上步骤，你就可以在Yii2中处理跨站请求伪造了。