Yii2RESTAPI构建与OAuth2鉴权全流程【详解】-php教程-PHP中文网

Yii2中构建REST API并集成OAuth2鉴权需三步：先用ActiveController搭建无状态REST接口骨架，再通过filsh/yii2-oauth2-server扩展实现令牌发放，最后在控制器中配置OAuth2Filter行为校验Bearer Token，全程禁用session、依赖标准协议与JWT自动验证。

yii2restapi构建与oauth2鉴权全流程【详解】

在 Yii2 中构建 REST API 并集成 OAuth2 鉴权，核心是分三步走：先搭好无状态的 REST 接口骨架，再引入 OAuth2 服务提供令牌发放能力，最后让 API 接口实际校验令牌。整个流程不依赖 session，强调每个请求自带凭证，符合现代 API 安全实践。

一、快速搭建 Yii2 RESTful API 基础结构

使用 ActiveController 可以分钟级暴露模型为标准 REST 资源接口：

定义模型（如 User），继承 ActiveRecord，配置数据库表名与验证规则
创建控制器（如 UserController），继承 \yii\rest\ActiveController，设置 $modelClass 指向模型类
在 config/web.php 的 urlManager 中添加规则：
['class' => 'yii\rest\UrlRule', 'controller' => 'user']
启用内容协商器，强制返回 JSON：
在控制器 behaviors() 中配置 ContentNegotiator，将 text/html 映射为 Response::FORMAT_JSON

完成后，GET /users、POST /users 等标准路由即自动可用。

二、集成 filsh/yii2-oauth2-server 实现授权服务

该扩展封装了 OAuth2 核心逻辑，适配 Yii2 生命周期，推荐用于自建授权服务器场景：

Wordpress REST API

OpenClaw技能，提供WordPress REST API命令行工具，支持通过原生HTTP处理文章、页面、分类、标签、用户及自定义请求。

下载

通过 Composer 安装：
composer require filsh/yii2-oauth2-server
在 api/config/main.php 的 modules 中注册模块：
指定 user_credentials 存储映射到你的用户模型（需实现 OAuth2\Storage\UserCredentialsInterface）
运行迁移命令生成 OAuth2 所需数据表：
./yii migrate --migrationPath=@vendor/filsh/yii2-oauth2-server/src/migrations
配置 URL 规则，使 POST oauth2/token 路由指向 token 发放端点
用户模型中必须实现两个方法：
checkUserCredentials($username, $password) 和 getUserDetails($username)，用于密码模式校验

三、在 REST 接口中启用 OAuth2 认证拦截

Yii2 不直接在控制器里写鉴权逻辑，而是通过行为（behavior）统一注入：

禁用默认的 session 用户组件：在 config/main.php 中设 'enableSession' => false，避免混淆
在需要保护的控制器（如 UserController）的 behaviors() 方法中，覆盖 authenticator 行为：
使用 \filsh\yii2\oauth2server\filters\OAuth2Filter 替代默认的 HttpBearerAuth
确保请求头携带 Authorization: Bearer xxxxxx，框架会自动解析并验证 token 有效性、scope 权限及过期时间
若需区分接口权限（如只读 vs 读写），可在 OAuth2 配置中定义不同 scope，并在控制器中通过 $this->module->getServer()->getScopeParam() 获取并校验

四、补充说明：JWT 与 OAuth2 的关系处理

OAuth2 是授权框架，JWT 是一种常用 token 格式。filsh 扩展默认生成的是 JWT 类型的 access_token，但你无需手动解析它：

token 签名验证、过期检查、scope 校验均由扩展内部完成
如需在业务逻辑中获取用户 ID 或角色，可通过 \Yii::$app->user->id 直接访问（前提是 user 组件已正确配置为基于 OAuth2 的 IdentityInterface 实现）
不建议自行用 lcobucci/jwt 解析 token —— 这会绕过 OAuth2 的 scope 控制和刷新机制，破坏整体安全模型

整个流程从用户登录获取 token，到后续每次请求携带 token 访问资源，全部由标准协议驱动，无需定制协议或私有加密逻辑。