我的服务器日志显示“CSRF 状态令牌与提供的令牌不匹配”错误，这似乎发生在几乎每个用户身上。但是，用户已创建和/或经过身份验证，我能够检索用户信息。我正在使用带有 Apache 的 Linux 服务器。我也在使用最新的 Facebook PHP SDK v.3.1.1 谁能告诉我为什么会这样以及如何解决它？
【问题讨论】：
标签： facebook facebook-graph-api facebook-php-sdk oauth-2.0 csrf
上周我遇到了类似的问题，并追踪到 state 字段被多次调用 getLoginUrl() 覆盖。每次调用getLoginUrl()，SDK中都会生成一个新的state令牌，并存储在$_SESSION中（只是一个随机值），所以如果调用两次，用户使用第一个链接登录，第二次调用将重置 SDK 的内部 state 令牌，您将在日志中看到此错误。
SDK 在 Facebook 授权用户并将其重定向回您的网站后返回的 URL 中查找相同的 state 令牌，如果不匹配，它将记录此错误（这里是指向 @ 987654321@).
【讨论】：
在同一处理程序中检查两次令牌时，Facebook SDK 代码存在错误。
我这样编辑facebook.php的getCode函数：
protected function getCode() {
if (!isset($_REQUEST['code']) || !isset($_REQUEST['state']) || $this->state === null) {
return false;
}
if ($this->state === $_REQUEST['state']) {
// CSRF state has done its job, so clear it
$this->state = null;
$this->clearPersistentData('state');
return $_REQUEST['code'];
}
self::errorLog('CSRF state token does not match one provided.');
return false;
}
为了更清楚，如果调用两次，则不会声明无效令牌。
需要明确的是，如果例如：
$facebook->getUser(); 然后在同一个处理程序 $facebook->getLogoutUrl() 然后 getCode() 被调用两次，从而导致错误消息无效
【讨论】：
好吧，我曾经遇到过这个确切的问题，我遇到了 URL 中的 state 和 code 参数的问题 - 我的 .htaccess 文件没有转发它们。
我猜你也有同样的问题。
CSRF state token does not match one provided
希望对你有帮助
【讨论】：
在 chesles 的回答中添加一点，如果您像我一样使用 session_start() - session_write_close() 函数，则可能会出现此问题。
如果在您请求 loginUrl 时没有启动会话，您将收到此错误。
旁注：为什么要停止会话？
使用会话的脚本会相互停止，因为它们正在等待会话数组可供使用。
假设您有一个流行的应用程序，有成千上万的用户，并且有一个动作（一个 php 脚本），您可以在其中发布图片。 像这样的：
--在脚本顶部开始会话
--连接脸书
--创建图像
--通过api调用共享图片
--脚本结束，会话自动关闭
这样做，会话将被脚本无缘无故地使用很长时间。 小心此类脚本，请改用以下内容：
--在创建 facebook 对象之前开始会话
--连接脸书
--用 session_write_close() 关闭会话，会话数组可用，其他脚本可以加载
--创建图像
--通过 api 调用共享图像 /* 它认为这不需要会话。 */
--脚本结束，会话已经手动关闭。
干杯。
【讨论】：
还有一个注意事项 - 尽管 Facebook PHP API 文档中没有说明，但您必须为 PHP 会话配置 apache 才能使登录过程正常工作。这就是我们在获得“CSRF 状态令牌与提供的令牌不匹配”时遇到的问题。
确保您使用的服务器池已设置为使用 memcache 获取会话信息，否则 apache 将在本地写入会话信息，如果下一个请求没有发送到同一台服务器，您将获得“CSRF 状态令牌与提供的不匹配”。
这是在开发环境（使用一台服务器）中发挥作用的魅力之一，但在生产环境中却失败了。
我们还必须重新配置 CDN 设置以确保我们通过 PHP 会话 cookie。
【讨论】：
我有同样的问题。这很容易。不要打电话
$fbLoginUrl = $facebook->getLoginUrl(...);
之前
$fbUser = $facebook->getUser();
否则您将收到“CSRF 状态令牌与提供的一个不匹配”错误。
【讨论】：
我在本地机器上遇到了同样的问题，问题原来是我的 hosts 文件 阻止了与 Verisign 的通信，因此 Facebook 尝试与之通信的 URL (http://crl.verisign.com/pca3.crl) 从来没有工作（状态：404）。
从我的 hosts 文件中注释掉各种 Verisign IP 地址就可以了！
【讨论】：
使用本地会话检查 CSRF 状态和代码，我打赌您需要检查 php.ini 中的 session.save_handler，以及它是否正常工作。
【讨论】：
如果您在页面上使用 .htaccess mod rewrite 重定向，请在行尾使用 [QSA]（查询字符串附加）来保留 GET 变量，否则您会丢失 $code 变量，这是必需的脸书登录
【讨论】：