Когда обновляется csrf-токен в yii2?

Question

[v3shin]

Всем привет. Есть проблема с сайтом: периодически пользователи "ловят" ошибку 400:

[error][yii\web\HttpException:400] yii\web\BadRequestHttpException: Не удалось проверить переданные данные.

При этом в логе ошибок я вижу, что csrf-токен был передан свежий.
Ошибка случается не всегда и не у всех.
Подскажите, плз, в какую сторону читать?

Comments

[di]

я бы наверное смотрел в сторону ajax запросов, если таковые имеются

[v3shin]

di, вместо них fetch, все post-запросы снабжаются csrf-метками, метки чаще всего не старше минуты.

[di]

v3shin, Я думал csrf для каждого запроса заново генерируется. старый становится не валидным

[v3shin]

di, когда в разных вкладках происходят запросы, использующие метки, все нормально отрабатывает, хотя значение меток разное.

[Ruslan Novikov]

Для Ajax запрсов в соответсвующем контроллере для экшена index, например csrf отключаю
Добавлением следующего метода
Ну или уберите условие - будет для всего контролера отключен csrf

public function beforeAction($action)
{
if (in_array($action->id, ['index'])) {
$this->enableCsrfValidation = false;
}
return parent::beforeAction($action);
}

[v3shin]

Ruslan Novikov, у меня есть функция, добавляющая значения csrf-меток к отправляемым данным. Проблема в том, что иногда метки минутной давности считаются невалидными.