yii2中参数验证必须在模型层完成，控制器仅负责调用$model->load()和$model->validate()并处理结果；复杂校验用内联验证器或独立验证类，极少数场景才用validator::validatevalue()临时校验。
Yii2控制器中不直接写参数验证逻辑，验证应放在模型层（Model）完成。控制器只负责接收请求、调用模型验证、处理结果。所谓“控制器自定义参数验证”，实际是通过模型的规则定义 + 自定义验证器来实现灵活校验，再由控制器统一触发。
核心思路：验证逻辑下沉到模型
Yii2 遵循 MVC 分层原则，控制器（Controller）不承担字段校验职责。正确做法是：
- 在模型（如 LoginForm、ApiForm）中定义 rules() 方法，声明字段规则
- 对复杂或复用场景，使用内联验证器（匿名函数或方法名回调）或独立验证类
- 控制器中调用 $model->load() + $model->validate()，根据返回值分支处理
- 若需跳过模型层、纯控制器级校验（极少数调试/快速接口），可用 yii\validators\Validator::validateValue() 静态方法临时校验单个值，但不推荐长期使用
常用自定义验证方式对比
内联验证器：适合字段间联动、一次性逻辑（如“当 status=1 时 title 必填”）
['title', function ($model, $attribute) {
if ($model->status == 1 && empty($model->$attribute)) {
$model->addError($attribute, '状态为1时标题不能为空');
}
}]
独立验证类：适合可复用、带配置的校验（如手机号、身份证、IP 白名单）
- 新建 PhoneValidator.php，继承 yii\validators\Validator
- 重写 validateAttribute()，并在 init() 中调用 parent::init()
- 类名必须以 Validator 结尾，如 PhoneValidator
- 在 rules 中使用：['mobile', 'PhoneValidator', 'country' => 'CN']
控制器中如何安全调用验证
典型流程（含 AJAX 场景）：
- POST 请求到达控制器后，实例化模型：$model = new ApiForm();
- 加载数据：$model->load(Yii::$app->request->post(), '')（空字符串避免默认前缀）
- 执行验证：if (!$model->validate()) → 返回错误数组给前端
- AJAX 表单校验时，可直接调用：\yii\bootstrap\ActiveForm::validate($model)
- 注意：不要在控制器里手动判断 $_POST['xxx'] 并抛异常，这破坏了 Yii2 的验证生命周期和错误收集机制
绕过模型的轻量校验（仅限特殊场景）
若确实需要在控制器中快速校验某个参数（例如 API 路由中的 ID 格式），可借助验证器静态方法：
use yii\validators\NumberValidator;
$validator = new NumberValidator(['integerOnly' => true, 'min' => 1]);
if (!$validator->validate($id, $error)) {
throw new \yii\web\BadRequestHttpException($error);
}
这种方式不走模型事件、不收集 errors，仅作即时判断，适合中间件式预检，不可替代模型验证主流程。
