Yii2框架下如何配置IP访问控制，使无论用户是否登录，非授权IP访问create动作均返回403禁止页面

你遇到的问题其实是Yii2 AccessControl组件的默认行为导致的：当未登录用户（访客，角色为?）不符合任何允许规则时，组件会自动重定向到登录页面；而登录用户（角色为@）则直接返回403。要让两种场景都返回403，只需要覆盖默认的拒绝回调函数即可。

修改后的配置代码 #

'access' => [
    'class' => AccessControl::className(),
    'only' => ['index', 'view', 'create'],
    // 自定义拒绝回调，统一返回403
    'denyCallback' => function ($rule, $action) {
        throw new \yii\web\ForbiddenHttpException('您没有权限访问此页面。');
    },
    'rules' => [
        [
            'actions' => ['index','view'],
            'allow' => true,
            'roles' => ['@'],
        ],
        [
            'actions' => ['create'],
            'allow' => true,
            'ips' => Yii::$app->params['adminIPs'],
            'roles' => ['?','@'],
        ],
    ],
],

关键说明 #

1. denyCallback的作用：这个回调函数会在用户不符合任何allow => true的规则时触发。默认逻辑里会区分访客和登录用户，分别跳转登录页或返回403；我们自定义后，不管用户状态如何，直接抛出ForbiddenHttpException，强制返回403响应。
2. 规则顺序保持不变：允许登录用户访问index/view、允许授权IP访问create的规则依然保留，确保合法请求正常通行。

这样修改后，无论是登录用户还是未登录用户，只要来自非授权IP访问create动作，都会收到403禁止页面，不会再出现重定向登录的情况。

内容的提问来源于stack exchange，提问作者srakl