yii2中校验url参数需结合控制器手动验证、自定义secureurlvalidator类、模型rules绑定及behavior全局拦截四种方式，支持格式、协议、域名等多级校验并兼顾安全性与复用性。
Yii2中自定义规则校验URL参数，核心是继承yii alidatorsValidator或使用inline validator，在控制器动作（action）或模型中灵活介入请求参数的合法性判断。
在控制器中直接校验GET/POST参数
适合轻量、一次性、无需复用的参数校验场景。Yii2控制器支持在beforeAction()或具体action内手动调用验证逻辑。
- 使用
filterInput()预处理参数，再结合filter_var($value, FILTER_VALIDATE_URL)做基础URL格式检查 - 对关键参数（如
redirect_url）额外校验域名白名单或协议限制（仅允许https://） - 校验失败时调用
$this->redirect()->send()或抛出BadRequestHttpException
创建独立的URL参数验证器类
当多个接口需统一校验跳转地址、回调地址等URL类参数时，推荐封装为自定义Validator类，便于复用和维护。
- 新建文件
common/validators/SecureUrlValidator.php，继承yii alidatorsValidator - 重写
validateAttribute()方法：先用filter_var($value, FILTER_VALIDATE_URL)判格式，再解析parse_url()检查scheme、host是否合规 - 支持配置项如
allowedSchemes = ['https']、allowedHosts = ['example.com']，通过$this->allowedSchemes在构造中接收 - 在控制器或模型中按需使用：
['redirect_url', 'app\validators\SecureUrlValidator']
在模型中绑定URL字段并复用验证规则
若URL参数对应业务模型（如OAuth客户端配置中的callback_url），应将校验逻辑下沉至模型层，保持职责清晰。
- 在模型
rules()中声明：['callback_url', 'url', 'enableIDN' => true]（内置url规则已支持国际化域名） - 对更严格要求（如限定子路径、禁止fragment），可叠加自定义validator：
['callback_url', 'app\validators\SecureUrlValidator', 'allowedSchemes' => ['https']] - 调用
$model->load(Yii::$app->request->get()) && $model->validate()统一触发所有规则
配合行为（Behavior）自动校验请求参数
对于需全局拦截的URL参数（如所有含next参数的请求），可用Behavior实现无侵入式校验。
- 创建
UrlParamCheckBehavior，在events()中监听Controller::EVENT_BEFORE_ACTION - 在
beforeAction()中读取Yii::$app->request->get('next')，调用自定义验证器 - 验证不通过则
return false中断执行，并设置错误响应（如返回400或跳转到安全页） - 在控制器
behaviors()中注册该Behavior，即可对指定参数自动生效
不复杂但容易忽略的是：URL校验不仅要防XSS和Open Redirect，还要注意parse_url对畸形URL的兼容性，建议配合trim()和mb_strlen()限制长度，避免超长参数引发性能问题。
