Yii控制器验证登录核心是用Yii::$app->user->isGuest判断是否已登录，配合AccessControl行为全局拦截未授权访问，并通过RBAC的can()方法实现细粒度权限控制。
Yii控制器里验证用户登录，核心就两件事：一是确认当前请求是否来自已认证用户，二是按需拦截未授权访问。不靠手写 session 判断，而是用
和行为（behaviors）或中间件统一处理。
怎么判断用户是否已登录？用
最可靠
别再手动查
或拼 SQL 做身份校验——这绕过了 Yii 的 user 组件机制，后续 RBAC、自动续期、登出同步都会出问题。
是唯一推荐的判断方式，它基于 identityClass 的完整生命周期，包括 cookie 解析、authKey 验证、过期检查
在控制器中直接用：
注意：即使 session 里有 uid，
仍可能为
——比如用户被禁用、auth_key 不匹配、或
返回 null，这些都会导致登录态失效
怎么全局拦截未登录请求？配
行为最轻量
不用每个 action 都写 if 判断，
是 Yii2 内置的行为过滤器，专为登录/权限拦截设计，配置即生效。
WOC-YII开源站群管理系统1.3
WOC-YII是rschome.com基于yii framework 1.1.8框架所开发的一款开源简易站群管理系统。它的功能与WOC完全一样。目前版本为V1.3，新版本正在开发中，同时欢迎大家参与到开发中来！ WOC-YII 1.3在1.2的基础上优化了登录系统（密码加密），优化了权限控制系统，新增seo管理功能，新增自动安装向导！ 程序框架：yiiframework1.1.8 配置文件：p
下载
在控制器中声明：
和
是唯二合法值：前者仅放行登录用户，后者仅放行游客（比如登录页本身）
常见坑：
是旧版写法（Yii1 风格），Yii2 必须用
；写成
会静默失效，请求照常通过
怎么结合 RBAC 做细粒度权限控制？
要配合
初始化
看似简单，但背后依赖完整的 RBAC 数据结构。没初始化 authManager 或没分配权限，永远返回 false。
确保 config 中已配好：
权限检查必须在用户已登录后调用，否则
会直接返回 false（不会报错，容易误判）
开发阶段快速验证权限是否存在：
返回 null 就说明权限没创建，不是代码写错了
不要在视图里频繁调用
，尤其带参数的规则（如
），规则执行可能触发额外查询
真正麻烦的从来不是写几行
或配个
，而是 user 组件的
没实现对、auth_key 字段为空、或者 DBManager 的表没初始化全——这些地方一出错，验证逻辑就变成“看起来正常，实际总失败”。动手前先跑一遍
和检查
返回值，比反复改控制器更省时间。
Yii::$app->userisGuestYii::$app->session->get('uid')Yii::$app->user->isGuestif (Yii::$app->user->isGuest) {
return $this->redirect(['site/login']);
}isGuesttruefindIdentity()AccessControlAccessControlpublic function behaviors()
{
return [
'access' => [
'class' => \yii\filters\AccessControl::class,
'rules' => [
[
'allow' => true,
'roles' => ['@'], // '@' 表示已登录用户
],
],
],
];
}'roles' => ['@']'roles' => ['?']'users' => ['@']'roles''users' => ['@']can()AuthManagerYii::$app->user->can('updatePost')'authManager' => [
'class' => 'yii\rbac\DbManager', // 推荐用数据库驱动
],can()var_dump(Yii::$app->authManager->getPermission('updatePost'));can()can('updateOwnPost', ['post' => $post])isGuestAccessControlidentityClassyii rbac/initfindIdentity()