直接在 beforeaction 里写权限检查行不通，因会破坏 yii2 执行链、绕过 accesscontrol 机制且难以统一管理；应使用 accesscontrol 过滤器，通过 behaviors() 配置 rules 并注意异常处理与缓存刷新。
直接在 beforeAction 里写权限检查，行不通？
绝大多数新手第一反应是：重写控制器的 beforeAction，手动调用 Yii::$app->user->can() 判断，然后 throw 异常或 return false。这看似直觉，但实际会破坏 Yii2 的执行链——比如视图渲染、日志记录、事务回滚等后续流程可能被跳过，而且无法统一管理。
真正可靠的做法是把权限控制交给过滤器（ActionFilter），而不是在业务逻辑层硬塞校验。Yii2 默认的 AccessControl 就是干这个的，它会在 runAction 链路中精准插入，且与 behaviors() 深度绑定。
-
beforeAction是控制器生命周期钩子，适合做轻量预处理（如设置语言、初始化变量），不适合承载权限决策逻辑 - 手动 throw
UnauthorizedHttpException虽能拦截请求，但绕过了AccessControl的规则匹配、日志埋点、denyCallback等机制 - 如果多个控制器都要加类似逻辑，复制粘贴
beforeAction会导致权限策略散落，后期无法批量调整
AccessControl 怎么配才不漏权限？
核心是让 rules 覆盖到所有需要保护的 action，同时避免误伤公共接口（如登录页、验证码、健康检查）。常见错误是只写 'allow' => true, 'roles' => ['@']，却忘了明确声明 'only' 或 'except'，结果连 login 和 error 都被拦住。
- 用
'only'显式列出受控 action（推荐）：'only' => ['update', 'delete', 'create'] - 用
'except'排除白名单（适合“默认全保护，仅开放几个”场景）：'except' => ['index', 'view', 'public-data'] - 必须配合
'roles' => ['@']（已登录）或'roles' => ['admin', 'editor']（角色名），不能只靠'allow' => true - RBAC 权限名（如
'post/update'）要和authManager中定义的完全一致，大小写、斜杠方向都不能错
示例配置：
public function behaviors()
{
return [
'access' => [
'class' => \yii\filters\AccessControl::className(),
'only' => ['update', 'delete'],
'rules' => [
[
'allow' => true,
'roles' => ['@'],
'matchCallback' => function ($rule, $action) {
return \Yii::$app->user->can('post/update');
}
],
],
],
];
}
Yii::$app->getErrorHandler()->exception === null 这行为什么非加不可？
这是个典型“表面能跑、上线就崩”的坑。当你在 beforeAction 里手动抛异常时，如果当前正处于错误处理流程中（比如上一个 action 已经触发了 NotFoundHttpException），再抛新异常就会导致递归调用错误处理器，最终 PHP 报 Fatal error: Maximum function nesting level 或直接 500。
-
Yii::$app->getErrorHandler()->exception在错误处理过程中非空，此时应跳过权限校验，否则干扰错误兜底逻辑 - 这个判断不是可选补丁，而是 Yii2 错误处理机制的必要守门员
- 如果你坚持用
beforeAction做权限检查（不推荐），这一行就是保命线，漏掉等于埋雷
想全局生效，别只改单个控制器
把 AccessControl 配在 Controller 基类的 behaviors() 里，就能一劳永逸覆盖所有子控制器——但前提是你的项目没在模块（Module）或应用主体（Application）层面覆盖掉这个行为。
- 检查是否在
modules/xxx/Module.php中重写了behaviors()并清空了'access' - 确认
config/web.php里没有在'as access'全局注册另一个AccessControl实例，否则基类配置会被覆盖 - RBAC 数据库表（
auth_item,auth_assignment等）必须已初始化，且authManager组件配置为DbManager，否则can()永远返回false
最易忽略的一点：authManager 的缓存开关。开发时关掉缓存（'cache' => null）没问题，但生产环境若开启缓存却忘记刷新，改了权限规则也看不到效果——这时候不是代码问题，是缓存没清。
