beforeaction() 在 runaction() 中、$action->runwithparams() 前触发，可获取完整 action 信息但未执行业务逻辑；返回 false 可中断流程，且需调用 parent::beforeaction() 以确保行为监听器执行。
beforeAction 在 runAction() 内部被调用
它不是在控制器实例化后立刻执行，而是在 yii\base\Controller::runAction() 方法中、真正调用 $action->runWithParams() 之前触发的。这个时机决定了：你能拿到完整的 $action 对象（含 $action->id、$action->controller->id、路由参数等），但还**没开始执行业务逻辑**。
常见错误现象是：在 init() 或构造函数里做权限/登录检查，结果拿不到当前 action 信息，或检查被绕过（比如直接访问未定义 action 时 init() 已执行但 beforeAction() 根本不触发）。
-
beforeAction()是控制器生命周期中第一个「可中断」的钩子 - 如果返回
false，整个 action 执行链立即终止，不会进入EVENT_BEFORE_ACTION事件监听阶段 - 父类
Controller::beforeAction()是空实现，不写return parent::beforeAction($action)会导致挂载的行为（Behavior）里的EVENT_BEFORE_ACTION监听器完全不执行
行为（Behavior）里的 EVENT_BEFORE_ACTION 比 beforeAction() 晚一步
行为监听的 Controller::EVENT_BEFORE_ACTION 事件，是在控制器自己的 beforeAction() 方法内部、调用 $this->trigger(self::EVENT_BEFORE_ACTION, $event) 时才触发的。也就是说：
执行顺序 = 控制器 beforeAction() → 触发 EVENT_BEFORE_ACTION → 所有监听该事件的行为方法（如 checkPermission($event)）→ 继续执行 action
典型坑是：在行为里写了 return false，但没设 $event->isValid = false，Yii 完全无视——因为框架只认 $event->isValid 这个开关。
- 行为中必须通过
$event->isValid = false中断流程，不能靠return false - 行为里的
$event->action是可靠的，可以安全用于权限项拼接（如$event->action->controller->id . '/' . $event->action->id） - 如果控制器
beforeAction()直接 return false，行为监听器根本不会运行
多个 beforeAction 的执行顺序：应用 → 模块 → 控制器
Yii2 支持在应用主体、模块、控制器三个层级定义 beforeAction()。它们按此顺序依次调用，任意一个返回 false，后续全部跳过。
这意味着：模块级的 beforeAction() 可以统一拦截该模块下所有控制器，但无法覆盖应用级已拒绝的请求；控制器级的则最细粒度，适合白名单逻辑（比如登录页放行）。
- 模块中重写
beforeAction()时，记得调用parent::beforeAction($action)，否则应用级逻辑失效 - 白名单判断建议放在控制器层，用
$action->getUniqueId()（如'site/login'）比拼字符串更可靠 - 不要在
beforeAction()里 throw 异常来代替return false，否则afterAction()和EVENT_AFTER_ACTION不会触发
和 AccessControl 过滤器的关系：本质相同，只是封装层级不同
yii\filters\AccessControl 本身就是一个继承自 ActionFilter 的行为，它监听 EVENT_BEFORE_ACTION，并在内部调用 beforeAction() 方法完成规则匹配。所以它和手动写 beforeAction() 并不冲突，而是共存关系。
关键区别在于：AccessControl 的规则匹配发生在行为监听器内，而控制器自己的 beforeAction() 是更早一层的拦截点。如果你同时用了两者，且都做了权限检查，就可能重复校验或顺序错乱。
- 推荐做法：统一用 AccessControl，避免在控制器里再写重复逻辑
- 若需动态白名单（比如根据用户角色切换），可在 AccessControl 的
rules中用回调函数：'matchCallback' => function ($rule, $action) { return in_array($action->getUniqueId(), $this->allowAllAction); } - AccessControl 的
beforeAction()返回false时，也会导致$event->isValid = false，效果等同于手动设置
beforeAction() 和行为监听的 EVENT_BEFORE_ACTION 不是并列关系，而是嵌套调用。不理解这个调用栈，就很容易把逻辑写错位置，导致拦截失效或重复执行。
