Yii2 REST接口如何取消认证信息持久化，实现每次请求都需认证？

嘿，这个场景我太熟悉了！在Yii2开发REST服务时，默认的认证机制经常会因为会话或token的持久化，让客户端一次认证后就能畅通无阻。要实现每个REST请求都强制认证，其实只要调整认证组件的配置就行，给你几个针对性的方案：

如果你的REST服务用的是默认的SessionAuth，Yii2会把认证状态存在服务器端会话里，客户端靠Cookie维持会话，自然一次认证后就不用重复操作。要打破这个逻辑，只需在REST控制器的behaviors()方法里修改认证配置：

public function behaviors()
{
    $behaviors = parent::behaviors();
    
    // 替换默认的认证行为
    $behaviors['authenticator'] = [
        'class' => \yii\filters\auth\SessionAuth::class,
        'session' => null, // 禁用会话存储，强制每次请求重新认证
        'optional' => [], // 确保所有请求都走认证流程，不要留例外
    ];
    
    return $behaviors;
}

不过这种方式更适合需要每次传用户名密码的场景，REST服务一般用token更多，所以看下面的方案更实用。

如果用的是HTTP Basic Auth，默认Yii2会缓存认证结果，只需开启无状态模式，就能强制每次请求都校验用户名密码：

public function behaviors()
{
    $behaviors = parent::behaviors();
    
    $behaviors['authenticator'] = [
        'class' => \yii\filters\auth\HttpBasicAuth::class,
        'auth' => function ($username, $password) {
            // 你的自定义认证逻辑，比如从数据库验证用户
            $user = \common\models\User::findByUsername($username);
            if ($user && $user->validatePassword($password)) {
                return $user;
            }
            return null;
        },
        'enableSession' => false, // 核心配置：禁用会话，每次请求都重新校验
    ];
    
    return $behaviors;
}

配置后，客户端每次请求都必须在请求头里带上Authorization: Basic [base64编码的用户名:密码]，服务器不会保存任何会话状态，确保每次请求都触发认证。

如果用的是Bearer Token（比如JWT或自定义token），默认客户端拿到token后可以用到过期。要实现每次请求都认证，你可以在认证逻辑里实时校验token的有效性，而不是只校验签名：

public function behaviors()
{
    $behaviors = parent::behaviors();
    
    $behaviors['authenticator'] = [
        'class' => \yii\filters\auth\HttpBearerAuth::class,
        'auth' => function ($token) {
            // 每次请求都去数据库/缓存查询token是否有效、未过期、未被撤销
            $tokenModel = \common\models\AuthToken::findOne(['token' => $token]);
            if ($tokenModel && !$tokenModel->isExpired()) {
                // 可选：更新token最后使用时间，做更细粒度的校验
                return $tokenModel->user;
            }
            return null;
        },
    ];
    
    return $behaviors;
}

如果要更严格，甚至可以实现一次性token机制：客户端每次请求前先调用一个临时token接口（需要认证），拿到的token只能用一次，用过就失效，从根源上杜绝重复使用。

• 确保你的REST服务是无状态的：不要依赖服务器端会话（session），会话本身就是用来维持状态的，和“每次请求都认证”的需求冲突。
• 客户端配合：如果之前客户端依赖自动发送的Cookie，要改成每次请求主动携带认证凭证（比如Authorization头）。
• Yii2的ActiveController默认集成了认证行为，只需覆盖behaviors()方法修改配置即可，不用从头搭建认证逻辑。

内容的提问来源于stack exchange，提问作者Perino