Определил проблему. У меня каждый POST требует CSRF.
Как вы думаете, как правильней запрещать требовать CSRF при POST?
Решение проблемы:
Сделать белый список серверов с которых можно получать POST без CSRF.
Сделать класс, наследовать CHttpRequest, указать до него путь в конфиге, и переопределить validateCsrfToken.
У меня получилось так:
public function validateCsrfToken($event){
$request = Yii::app()->request;
if(in_array($_SERVER['REMOTE_ADDR'], $request->whiteListIP)){
$request->enableCsrfValidation=false;
return;
}
parent::validateCsrfToken($event);
}
