yii适合快速开发带rbac、ldap集成的后台系统，其dbmanager支持角色继承与热更新，searchmodel+activedataprovider为列表页标准方案，ldap/oauth2需重写identityclass，yii3与yii2不兼容。
Yii 不适合做纯 CLI 工具链或无状态的边缘函数，但如果你要快速落地一个带权限、带搜索、带导出、能对接 LDAP 的后台系统，它比写原生 PHP 或硬搭 Laravel 更省心。
需要 RBAC + 多角色后台管理时，直接用 yii\rbac\DbManager
很多团队在权限模块上反复造轮子：手写菜单表、硬编码规则、靠 session 字段判断角色。Yii 的 DbManager 把权限树存进数据库，支持命令行初始化（yii rbac/init），还能配合 AuthItem、AuthAssignment 表做动态授权。关键不是“有没有”，而是它默认就支持「角色继承」和「权限缓存刷新」——你改完规则不用重启服务，调一次 yii rbac/flush 就生效。
- 别把
DbManager和PhpManager混用：后者只读 PHP 文件，上线后无法热更新 -
checkAccess()默认不走缓存，高频调用时得手动包一层Yii::$app->cache->get() - 如果已有组织架构表，别强行塞进 Yii 的
auth_item_child，用自定义Rule类桥接更稳
列表页带复杂筛选+分页+导出，优先配 ActiveDataProvider + SearchModel
这不是“推荐写法”，而是 Yii 后台开发的事实标准路径。比如你要查「近 30 天下单、支付状态为 success、商品类目在 A/B/C 中、且用户等级 ≥ 3」的订单，SearchModel 里写 andFilterWhere() 链式调用，ActiveDataProvider 自动接管排序、分页、count 查询优化。它不会生成 N+1 查询，也不依赖额外 ORM 层——底层就是 Query 对象拼 SQL。
-
SearchModel必须继承Model，不能是ActiveRecord；否则验证规则和 DB 字段会冲突 - 导出 Excel 时别在
dataProvider里加asArray()—— 它只影响查询结果结构，不解决内存溢出；大数据量得用BatchQuery -
sort配置里用attributes显式声明可排序字段，避免 SQL 注入风险（比如用户传order=id;DROP TABLE user）
要对接 LDAP/OAuth2，别碰 yii\web\User 默认实现
yii\web\User 是个壳，真正干活的是 identityClass 指向的类。对接 LDAP 时，你的 User 模型不该查本地 user 表，而应重写 findIdentityByAccessToken() 和 validatePassword()，内部调用 ldap_bind()。OAuth2 同理：用 yii\authclient 包拉取 token 后，loginByAccessToken() 再把用户信息落库或缓存。
- 禁用
enableAutoLogin：LDAP 用户没密码哈希，auto-login 会失效 - 别在
getIdentity()里做网络请求——每次访问Yii::$app->user->id都会触发一次 LDAP 查询 - OAuth2 的
accessToken过期时间必须和yii\web\User::loginDuration对齐，否则前端登录态“突然消失”
Yii 3 和 Yii 2 混用组件？基本不可行
Yii 3 不是 Yii 2 的升级版，是重写的全新框架。它的 Application 不再继承 Component，Container 强制要求类型提示，config 全部改用 PHP 8.2+ 的只读数组语法。你不能把 Yii 2 的 Gii 模块 copy 到 Yii 3 项目里跑，也不能复用 yii\grid\GridView 的模板——它们命名空间、接口契约、生命周期钩子全变了。
- 迁移旧项目前，先确认第三方扩展是否已发布 Yii 3 兼容版（比如
yiisoft/yii2-swiftmailer在 Yii 3 下叫yiisoft/swiftmailer） - Yii 3 的
Mailer默认不带视图渲染器，发 HTML 邮件得自己注入ViewRenderer - 别指望
composer update yiisoft/yii2能升到 Yii 3——它是完全独立的包，需新建项目再逐步迁移
最常被忽略的一点：Yii 的「高性能」不来自框架本身多快，而来自它极少隐藏副作用。比如 ActiveRecord::findOne() 看似简单，但它会触发完整的事件循环（beforeFind、afterFind）、验证器加载、关系预加载判断——这些在 debug toolbar 里看不见，却可能让单条查询慢 30ms。真要压测，得关掉所有行为（behaviors() 返回空数组）再比。
