yii框架本身不内置“app接口”魔法开关，其app适配能力取决于开发者对rest路由、json响应、权限体系等的合理组织；核心是统一json结构、过滤敏感字段、强校验token并保障幂等性。
Yii 框架本身不内置“App接口”或“移动端适配”的魔法开关，它只提供 RESTful 路由、JSON 响应、状态码控制和安全防护等基础能力。能否支撑 App（iOS/Android）或小程序，取决于你如何组织控制器、验证逻辑、响应格式和权限体系——不是框架“能不能”，而是你“怎么搭”。
怎么用 Yii2 写出标准的 App 接口
核心是让每个 Action 返回结构统一、字段可控、错误可读的 JSON，而不是渲染 HTML 页面。
- 控制器继承
yii\rest\Controller或手动禁用布局：$this->layout = false; - 强制返回 JSON：在 action 开头加
\Yii::$app->response->format = \yii\web\Response::FORMAT_JSON; - 统一包装响应体，避免裸 return 数组：用封装好的工具方法，例如
ApiHelper::success($data)或ApiHelper::error($msg, $code = 400) - 禁止直接 echo/print_r/var_dump —— 这会导致 JSON 格式被破坏，前端解析失败
- 敏感字段（如密码、token）必须在模型
fields()或extraFields()中显式过滤，不能靠前端不传就不显示
Yii1.1 怎么兼容 App 请求（别踩坑）
Yii1.1 缺少原生 REST 支持，容易在 Content-Type、HTTP 状态码、跨域上翻车。
- 手动设置响应头：
header('Content-Type: application/json; charset=utf-8');，否则 iOS WKWebView 可能拒绝解析 - 不要依赖
CController::renderPartial()，它默认输出 HTML；改用echo CJSON::encode($arr)并立即Yii::app()->end() - 跨域问题常见于调试阶段：在入口文件或控制器开头加
header("Access-Control-Allow-Origin: *")（上线必须限制域名） - POST 数据可能被 Yii1 自动过滤（
filter规则），导致$_POST为空 —— App 通常发 raw body，应改用file_get_contents('php://input')解析 JSON
接口鉴权怎么做才不被绕过
App 端无法隐藏密钥，Token 必须服务端强校验，且不能只校验存在性。
- 别用简单 GET 参数传 token：
?token=xxx易被代理日志、CDN 缓存泄露；强制走Authorization: Bearer xxx头 - Token 必须绑定设备指纹（如
device_id字段）或 IP 段（短时效场景），防止 token 被盗用后长期有效 - Yii2 推荐用
yii\filters\auth\HttpBearerAuth+ 自定义UserIdentity类；Yii1 需自己写 filter，在beforeAction()中解析并查库 - 登录态过期时间要区分场景：App 后台常驻进程建议 7 天，但敏感操作（如支付、修改密码）必须二次校验密码或短信
为什么 App 调用总报 500 却没日志
常见原因是 PHP 错误被静默吞掉，或 Yii 的 error handler 没配置为记录到文件。
- 检查
php.ini中log_errors = On和error_log路径是否可写 - Yii2 默认把错误转成 JSON 响应（
{"name":"PHP Notice","message":"Undefined index: id",...}），但 App 端可能只看 HTTP 状态码，忽略 body —— 建议开发期打开YII_DEBUG = true并查看@runtime/logs/app.log - Yii1.1 的
errorHandler默认不记录 fatal error（如 parse error），需在main.php中补全：'errorHandler'=>array('errorAction'=>'site/error'),并确保site/erroraction 有日志写入逻辑 - App 请求若带 gzip 编码，而服务器未开启
zlib.output_compression，可能触发 PHP 输出缓冲异常，表现为空白响应或 500 —— 临时关闭 App 端 gzip 测试可快速定位
最易被忽略的是：App 接口的「幂等性」和「重试机制」不在框架里，得你手动设计。比如支付回调、订单创建，必须支持重复请求不产生脏数据——这比写个 Json::encode() 要难得多。
