Yii2控制器全局访问设置：移除内置认证改用自定义页面认证

我来帮你梳理下针对Yii项目内置认证的两种处理方案，刚好你已经开始修改Site控制器的behaviors()了，咱们接着往下走：

方案一：全局允许所有人访问 #

如果你的需求是让整个项目（或指定控制器）的所有页面都对访客开放，不需要任何登录验证，只需要调整AccessControl的规则即可：

你当前的规则只允许未登录用户（roles => ['?']），要改成允许所有用户（包括已登录和未登录），只需要把roles改成['*']：

public function behaviors() {
    return [
        'access' => [
            'class' => AccessControl::className(),
            'rules' => [
                [
                    'allow' => true,
                    'roles' => ['*'], // 通配符*代表所有用户（访客+已登录用户）
                ],
            ],
        ],
        // 保留其他原有行为（比如verbs、contentNegotiator等）
    ];
}

如果要让所有控制器都生效，建议创建一个BaseController基类，把这段behaviors()逻辑写在基类里，然后让项目中所有控制器都继承这个基类，这样就不用逐个修改控制器了。

方案二：完全移除内置认证，改用自定义页面认证 #

如果你的目标是彻底替换Yii的内置登录体系，用自己的认证页面和逻辑，需要分三步操作：

1. 移除控制器的内置权限控制 #

直接删掉控制器behaviors()中的access配置块，这样Yii就不会再对这个控制器的动作做内置权限检查：

public function behaviors() {
    return [
        // 只保留其他必要行为，删掉整个'access'节点
        // 'verbs' => [...], 比如这类请求方法限制的行为可以保留
    ];
}

2. 禁用应用级的内置用户组件 #

打开项目的配置文件（一般是config/web.php或config/main.php），调整user组件的配置，禁用Yii的内置身份验证功能：

'components' => [
    'user' => [
        'enableAutoLogin' => false,
        'enableSession' => false, // 如果你的自定义认证不需要Yii的会话管理，可以关闭
        'identityClass' => null, // 不需要Yii内置的身份类
    ],
    // 其他组件配置保持不变
],

3. 实现自定义认证逻辑 #

接下来你可以自己编写登录页面（比如actionCustomLogin），处理用户账号密码的验证，验证通过后用自己的方式标记用户身份（比如自定义会话键、JWT令牌等）。

然后在需要验证的控制器/动作中，添加自定义的权限检查逻辑，比如在基类控制器的beforeAction中统一处理：

public function beforeAction($action) {
    // 排除不需要认证的动作，比如自定义登录页
    if ($action->id === 'custom-login') {
        return parent::beforeAction($action);
    }

    // 检查自定义的认证状态，比如检查会话中的标识
    if (!Yii::$app->session->get('custom_user_authenticated')) {
        // 未认证则跳转到自定义登录页
        return $this->redirect(['site/custom-login']);
    }

    return parent::beforeAction($action);
}

最后，记得删掉Site控制器中默认的actionLogin、actionLogout等内置认证动作，避免混淆。

内容的提问来源于stack exchange，提问作者user1956040