Yii2中用户登录后仍同时拥有guest与user角色的原因及是否正常？

嘿，这其实是Yii2的正常设计，完全不是你操作出错了！让我给你拆解一下背后的逻辑：

• guest是Yii内置的虚拟角色：它并不是你通过RBAC系统手动分配给用户的角色，而是Yii的\Yii\web\User组件自带的标识性角色。这个角色的作用是快速区分用户登录状态——当用户未登录时会被自动附加；用户登录后，Yii并不会移除这个角色，而是让它和你通过RBAC分配的真实角色（比如user）共存。
• 如何判断真实登录状态：如果你要确认用户是否真的是未登录访客，别依赖角色列表里的guest，直接用Yii::$app->user->isGuest这个属性就好，它会返回布尔值，准确反映用户的登录状态。
• 如果想过滤掉guest角色：如果业务场景需要只获取RBAC分配的真实角色，可以手动过滤结果，比如：

  $roles = \Yii::$app->authManager->getRolesByUser(Yii::$app->user->id);
  $realRoles = array_filter($roles, function($role) {
      return $role->name !== 'guest';
  });
  var_dump($realRoles);
  

• 内置虚拟角色的作用：除了guest，Yii还有authenticated这个内置虚拟角色，它们主要用于权限控制的快捷配置。比如在控制器的access规则里写'roles' => ['authenticated']限制只有登录用户能访问，或者['guest']限制未登录用户访问，这些规则会自动识别用户登录状态，不需要你手动分配这些角色。

所以完全不用纠结这个现象，这是Yii2 RBAC系统的正常行为，你的权限控制逻辑只要基于真实分配的角色和isGuest属性就不会有问题。

内容的提问来源于stack exchange，提问作者Ruslan Nasrutdinov