Yii2框架REST API登出异常：调用登出接口后仍可获取用户数据

看起来你遇到的问题是调用登出接口后，用户身份没有被彻底清除，导致后续请求个人资料接口还能拿到用户数据。我来帮你分析原因并给出针对性解决方案：

核心原因：默认logout()未销毁会话 #

Yii2的Yii::$app->user->logout()方法默认参数$destroySession = false，这意味着它只会移除会话中的用户身份信息，但不会销毁整个会话。如果你的应用使用基于Session的认证，服务器端仍然会识别这个会话，导致Yii::$app->user->identity还能读取到之前的用户数据。

解决方案1：销毁会话彻底登出 #

修改你的登出动作，调用logout()时传入true参数，强制销毁整个会话：

public function actionLogout() {
    // 传入true销毁会话，彻底清除用户身份关联
    $user_t = Yii::$app->user->logout(true);
    return $this->apiItem(array(),'Logout Successfully');
}

补充：给个人资料接口增加未登录校验 #

为了避免后续请求因$user为null而报错，建议在actionViewprofile()中增加身份校验逻辑：

public function actionViewprofile() {
    $user = Yii::$app->user->identity;
    if (!$user) {
        // 返回401未授权状态码和提示信息
        Yii::$app->response->statusCode = 401;
        return [
            'statusCode' => 401,
            'message' => 'You need to log in first',
            'data' => [],
            'flag' => false
        ];
    }
    $profile_fetch = [
        'firstname' => $user['member_fname'],
        'lastname' => $user['member_lname'],
        'gender' => $user['member_gender'],
        'dateofbirth' => $user['member_dob']
    ];
    return $this->apiItem($profile_fetch);
}

特殊情况：如果是REST Token认证 #

如果你的API使用Token认证（比如HttpBearerAuth），那么logout()方法本身不会让token失效，因为token是存储在客户端的。这时候需要额外处理：

1. 在用户表中添加auth_token字段，存储当前有效的token
2. 登出时清空数据库中的token，让旧token无法通过身份验证：

public function actionLogout() {
    $user = Yii::$app->user->identity;
    if ($user) {
        // 清空数据库中的有效token
        $user->auth_token = null;
        $user->save(false); // 跳过验证直接保存
    }
    // 同时销毁会话（如果存在）
    Yii::$app->user->logout(true);
    return $this->apiItem(array(),'Logout Successfully');
}

这样后续请求携带旧token时，身份验证组件会因为数据库中没有匹配的token而拒绝访问。

内容的提问来源于stack exchange，提问作者Pritamkumar