Invalid Form Key 表示表单令牌与当前会话不一致，或提交数据里没有收到该字段。反复刷新只能掩盖问题。

先观察 Cookie 是否在请求间不断变化。Base URL、Cookie Domain、Cookie Path、HTTP/HTTPS 混用都可能让浏览器不发送原会话。负载均衡环境应共享正确的会话存储与加密配置，代理也要让 Magento 识别原始 HTTPS。

若只在保存大商品时出现，检查 post_max_size、max_input_vars 与服务器请求体限制。请求被截断后，位于后面的 form_key 可能丢失。

php -i | grep -E "post_max_size|max_input_vars|upload_max_filesize"

自定义表单必须输出 Magento 提供的 form key。不要关闭验证来“修复”，应记录请求大小、会话 ID 变化与代理头，找出令牌为什么没有匹配。