CodeIgniter 4 的 CSRF 防护需正确启用过滤器、同步 AJAX 令牌并理解其局限性；仅配置不启用、忽略令牌刷新、混淆 XSS/越权等边界问题，会导致防护失效。
CodeIgniter 4 的 CSRF 防护机制本身是
够用的
，但“够不够”不取决于框架有没有，而取决于你
是否启用、是否配对、是否绕过它自己埋的坑
。
CSRF 配置没开，等于没装锁
很多项目上线后才发现 CSRF 失效，根本原因不是框架不行，而是配置压根没生效：
默认情况下，
中的
是
，但这个开关只是“准备就绪”，真正启用还得靠过滤器。
必须在
中把
加入全局或指定方法的过滤器列表，例如：
如果只在控制器里手动调用
却没启用过滤器，请求照样被放行——验证逻辑根本没跑。
这种写法属于 CI3 风格，CI4 已废弃；继续写在
里完全无效。
表单提交
没问题，AJAX 请求常掉坑里
CSRF 令牌在普通表单中由
自动注入，但 AJAX 场景下极易漏掉同步更新：
典型现象：第一次 AJAX 成功，第二次 403 —— 因为 CI4 默认开启
（每次请求刷新令牌），而
前端
没拿到新值。
Comet AI 浏览器
下载 Comet AI 浏览器，体验由 Perplexity AI 驱动的革命性上网方式。内置 AI 助手可实时总结网页、跨标签页对比信息、自动执行任务。告别繁琐操作，让 AI 成为你的浏览副驾，大幅提升研究与工作效率。支持 Windows、macOS、Android 和 iOS。
下载
后端需在响应头中返回新令牌：
前端 JS 必须监听每次响应并更新全局 token 变量，不能只在页面加载时读一次
和
。
别用
硬
编码
初始值——那是个静态快照，过期即失效。
CSRF 不是万能盾，它不管 XSS、越权、参数篡改
有人以为开了 CSRF 就高枕无忧，结果被
直接删库——这跟 CSRF 毫无关系。
CSRF 防的是“用户被诱导点击恶意链接后，
浏览器
自动带上合法 Cookie 提交请求”，它不校验：
请求里的
参数是否属于当前用户（水平越权）
字段是否被前端 JS 改成
（XSS 漏洞）
上传文件名是否含
（路径遍历）
数据库查询是否拼接了未过滤的 POST 数据（SQL 注入）
这些得靠
输出转义、
输入清洗、权限中间件、查询构建器等组合防御。
真正容易被忽略的，是
CSRF 令牌生命周期和存储方式的隐性耦合
：比如你设了
，但
session
驱动用了 database，而数据库连接失败时 session 写不进去——那所有 CSRF 验证都会静默失败，变成“假防护”。这类问题不会报错，只会让安全形同虚设。
app/Config/Security.php$csrfProtection'cookie'app/Config/Filters.php'csrf'public $globals = [
'before' => [
'csrf' => ['except' => ['api/*']],
],
];$this->security->getCSRFTokenName()csrf_protection = TRUEconfig.phpform_open()$regenerate = truereturn $this->response->setHeader('X-CSRF-TOKEN', csrf_hash());csrf_token()csrf_hash()$.ajaxSetup({ headers: { 'X-CSRF-TOKEN': ... } })GET /user/delete?id=123idemail">../../.htaccessesc()$this->request->getPost(null, FILTER_SANITIZE_STRING)$csrfProtection = 'session'