yii2中阻止字段赋值靠scenarios()白名单机制，而非验证器；验证仅检查数据合法性并记录错误，不控制字段是否被加载。
Yii2 的验证本身 不负责阻止参数赋值，它只负责检查数据是否符合规则，并通过 addError() 记录错误。真正控制“哪些字段能被赋值”的，是 属性的安全性（safe attributes）机制，由 load() 方法配合 scenarios() 和 rules() 共同决定。
所以，如果你的目标是“用户提交了某个字段，但你不希望它被写入模型”，这不是验证器该干的事，而是要从数据加载阶段就拦截。
✅ 正确做法：不让字段进模型，而不是靠验证“拦住”
1. 确保字段不在当前场景的 safe 列表里
public function scenarios()
{
return [
'default' => ['username', 'email'], // 只有这两个字段可被 load() 赋值
'admin' => ['username', 'email', 'status'], // admin 场景才允许 status
];
}
如果 password 不在 'default' 场景的列表中，即使 POST 里有 password=123，调用 $model->load($post) 后 $model->password 仍为 null 或初始值。
⚠️ 注意：
rules()里的'safe'验证器只是 补充 安全字段，不能替代scenarios()的白名单控制。
2. 不要在 rules() 中给不该赋值的字段加任何规则（包括自定义验证）
比如你写了：
[['secret_code'], 'validateSecretCode']
但 secret_code 根本不在 scenarios() 的当前场景字段列表里 ——
→ load() 不会赋值它 → validateSecretCode() 拿到的是空值或默认值 → 验证逻辑可能误判，还容易引发 Notice。
3. 若必须接收但禁止保存，用临时属性 + 显式过滤
// 模型中声明一个非 DB 字段（不映射到数据库） public $captchaInput; // 在 rules() 中可以验证它 [['captchaInput'], 'required'], [['captchaInput'], 'captcha'], // 但它不会被 save() 写入数据库，也不会进 $model->attributes（除非你手动加进 scenarios）
然后在 scenarios() 中不把它列入任何场景，它就永远不会被 load() 自动赋值；如需接收，就手动处理：
$data = Yii::$app->request->post(); $model->captchaInput = $data['MyModel']['captchaInput'] ?? null;
❌ 常见误解：想用验证器“取消赋值”
有人试图在自定义验证方法里“清空字段”：
public function validateSecretCode($attribute, $params)
{
if (someBadCondition()) {
$this->$attribute = null; // ❌ 错！这不阻止赋值，只是改值
$this->addError($attribute, '非法输入');
}
}
这毫无意义：字段早已被 load() 赋过值，验证阶段再设为 null，只是掩盖问题，且违反单一职责（验证 ≠ 数据清洗）。
✅ 补充：需要“动态禁用字段赋值”？用 beforeValidate() 配合 removeRule()
若业务要求某些字段仅在特定条件下才允许提交（比如 A=1 时 B 才可填），推荐：
- 把 B 设为非 safe 字段（不出现在
scenarios()中） - 在
beforeValidate()中按条件决定是否临时加入规则：
public function beforeValidate()
{
if ($this->a == 1 && !empty($this->b)) {
$this->addRule('b', 'required');
$this->addRule('b', 'string', ['max' => 32]);
}
return parent::beforeValidate();
}
注意：addRule() 添加的规则只对当前实例生效，且需确保 b 已在 scenarios() 中，否则 load() 还是不认它。
不复杂但容易忽略：阻止赋值靠 scenarios()，不是靠验证器。验证只管“对不对”，不管“该不该进来”。
