yii2 restful接口对接前端需绕开四类高频问题：禁用html响应（继承yii\rest\activecontroller并设$modelclass）、启用rest路由规则（enableprettyurl+urlrule）、严格校验jwt头格式（bearer后必有空格）、统一json响应与cors配置。
Yii 框架 RESTful 接口对接前端，核心不是“能不能通”，而是“怎么避免后端返回 HTML、前端拿不到 JSON、跨域失败、token 静默失效”这四类高频问题。只要绕开这几个坑，GET /users 就能稳定返回 {"items": [...]}，而不是一堆 404 页面或空响应。
yii\rest\ActiveController 必须继承，不能用 yii\web\Controller
很多开发者照着普通控制器写个 public function actionIndex() 然后 return $data，结果前端收到的是带 HTML 头的混合内容——因为 yii\web\Controller 默认走视图渲染流程。
-
yii\rest\ActiveController自动设置响应格式为 JSON，并禁用布局（layout）、视图（view）和 CSRF 验证（除非显式开启） - 必须声明
public $modelClass = 'app\models\User';，否则index/view等动作无法自动绑定模型 - 如果模型里没实现
findModel($id)方法，GET /users/1会静默返回空数组而非 404，调试时极难定位 - 绝对不要在 API 控制器里调用
$this->render()或$this->renderPartial()，它会强行触发模板引擎，JSON 响应里混入 HTML 片段
urlManager 的 REST 规则必须启用且严格解析
没配对的 urlManager，/api/users 就只是个 404 路径，不会自动映射到 index 动作。
PigX UI Pro 前端开发指南 - Vue 3 + TypeScript + Element Plus。当用户提到 PigX UI、PigX 前端、lgb-mgui 项目、Vue 3 企业级后台开发、Element Plus 后台开发时使用此技能。
- 配置里必须设
'enablePrettyUrl' => true和'enableStrictParsing' => true，否则GET /users/abc可能被错误路由到index而非报错 -
rules中要明确写['class' => 'yii\rest\UrlRule', 'controller' => 'user']，不是字符串'user'，也不是['user'] - Apache 需在
web/目录下有正确.htaccess；Nginx 则需location / { try_files $uri $uri/ /index.php?$args; }，否则/users/1直接 404 - 别把 API 放在
frontend下还共用web/index.php—— 建议单独建api/web/index.php入口，隔离配置和请求生命周期
前端发请求时 Authorization 头格式不能错一个字符
JWT 认证失败时，Yii2 默认只返回 401 Unauthorized，日志里没有具体原因，前端看到的就是“未登录”，但实际可能是 Bearer 少空格、大小写拼错、token 过期或签名不匹配。
- 前端必须发
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...——Bearer后**必须跟一个英文空格**，少这个空格，sizeg\jwt\JwtHttpBearerAuth直接跳过验证，返回 401 - token 存 localStorage 还是 HttpOnly Cookie？若存 Cookie，得配
'withCredentials' => true且后端响应加Access-Control-Allow-Credentials: true - JWT 过期抛的是
sizeg\jwt\exceptions\JwtException，不是 Yii 原生异常，errorHandler里不捕获它，就看不到具体错误信息（比如 “Token expired”） -
\Yii::$app->user->identity在无状态 JWT 下默认是null，要用Yii::$app->user->getIdentity()并确保已通过 JwtAuth 行为认证成功
跨域和响应格式必须全局统一处理
前端用 Axios 或 Fetch 请求时，如果后端没明确声明 Content-Type: application/json 或漏了 CORS 头，浏览器会直接拦截或解析失败。
- 在 API 模块的
beforeAction()里强制设响应格式：\Yii::$app->response->format = \yii\web\Response::FORMAT_JSON; - CORS 不要靠前端 hack，后端应在
behaviors()里加Cors行为，明确允许哪些 origin、method、header - 错误响应也要 JSON 化：在
config/web.php的response组件中设'on beforeSend' => function ($event) { ... }，确保 400/500 错误也返回 JSON 结构，而非 HTML 错误页 - 别在控制器里手动
header('Content-Type: application/json')—— Yii 的Response组件会覆盖它，导致 Content-Type 变成两次
最常被忽略的是：API 控制器里没关 CSRF，又没配好 JWT 行为，结果 POST 请求因 CSRF token 缺失而 400；或者前端传了 Bearerxxx（没空格），后端连验证逻辑都没进，只默默返回 401。这类问题不打日志、不报错细节，只能靠抓包看请求头和响应头比对。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
