yii2的activecontroller不支持插件式扩展，复用认证/限流/日志等逻辑须通过behaviors()显式声明行为，如httpbearerauth、ratelimiter或自定义requestloggerbehavior，且子类需调用parent::behaviors()合并配置。
yii\rest\ActiveController 本身不支持插件式扩展，所谓“RESTful 接口插件”，实际是通过行为（behaviors()）、过滤器、自定义基类或组件注入来复用逻辑。硬塞“插件”概念容易误导——Yii 的扩展机制靠的是组合，不是挂载。
怎么在 ActiveController 里复用认证/限流/日志逻辑
Yii 没有 registerPlugin() 这种方法，所有可复用能力都得走 behaviors() 或 init() 注入。
- 认证：用
yii\filters\auth\HttpBearerAuth或自定义AuthMethod子类，放进behaviors['authenticator'] - 限流：加
yii\filters\RateLimiter，注意它依赖yii\redis\Connection或yii\caching\Cache组件 - 请求日志：不要在每个 action 里写
Yii::info()，而是写个RequestLoggerBehavior，在beforeAction和afterAction钩子中记录 - 所有行为必须显式声明在控制器中，父类不会自动继承子类的 behaviors —— 即使你写了个
BaseRestController，也得在子类里调用parent::behaviors()并合并
为什么 vendor 包里的 REST 扩展常报错
很多第三方包（比如 yii2-advanced-api 或 yii2-rest-extensions）假设你用了特定目录结构或重写了 Serializer，但没做兼容性兜底。
- 常见错误：
Call to undefined method yii\rest\Serializer::serialize()—— 因为扩展试图调用已废弃的接口，或覆盖了yii\rest\Serializer却没实现全部方法 - 模型字段精简失效：扩展可能绕过
fields()直接读$model->attributes，导致unset()不生效 - 路由冲突：有些包自带
UrlRule配置，和你 config/web.php 里的重复注册，引发Invalid Configuration - 解决办法：优先自己封装行为，而不是装包；若必须用，先检查其
composer.json里require的 Yii 版本是否匹配你当前的 2.0.x
如何安全地给 REST 接口加字段校验插件
别信“一键校验插件”。Yii 的验证必须落在模型层，控制器只负责触发 $model->load() 和 $model->validate()。
- 想统一处理字段缺失/类型错误？重写控制器的
bindModels()方法，在load()后立刻检查$model->hasErrors() - 想支持 JSON Schema 校验？用
justinrainbow/json-schema写个JsonSchemaValidator类，作为模型规则之一：['body', 'app\validators\JsonSchemaValidator'] - 禁止在
actions()里手动json_decode(file_get_contents('php://input'))—— 这会跳过JsonParser的内容协商和异常捕获，400 错误变成 500 - 所有校验结果最终要映射到标准 HTTP 状态码：422（Unprocessable Entity）对应模型验证失败，400 对应解析失败
OPTIONS，或序列化前模型已被销毁。
