Почему такое происходит с CSRF в Yii2?
Проблема решена. Даже не представлял, что из-за такой ерунды не будет работать.
В layout не было <?php $this->beginPage();?>
Из-за этого не генерировался заново CSRF.
Этой информации недостаточно. Проверьте и добавьте в ваше сообщение такие участки кода: есть ли в layout файле подключение csrf с помощью хелпера Html; используете ли вы для отображения формы виджет ActionForm или хелпер Html::beginForm (они автоматически добавляют CSRF-метку); если используете - поставили ли POST.