在 Yii2 中初始化 RBAC 数据库表需运行命令 yii migrate --migrationPath=@yii/rbac/migrations，确保 console/config/main.php 配置了 migrate controllerMap，若使用非默认 db 组件需加 --db=参数，成功后生成 auth_rule、auth_item、auth_item_child、auth_assignment 四张表。
怎么在 Yii2 中初始化 RBAC 数据库表
Yii2 的 RBAC 不自带数据库结构，必须手动初始化。不执行这步，后面所有权限操作都会报 SQLSTATE[42S02]: Base table or view not found 错误。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 运行命令：
yii migrate --migrationPath=@yii/rbac/migrations（注意路径里是@yii/rbac/migrations，不是yii2/rbac或其他变体） - 确保
console/config/main.php中已配置'controllerMap'包含'migrate'，否则命令不可用 - 如果项目已启用自定义
db组件且非默认名（比如叫mainDb），需加--db=mainDb参数，否则迁移会写到错误库 - 迁移后检查数据库是否生成了 4 张表：
auth_rule、auth_item、auth_item_child、auth_assignment
怎么给用户分配角色并验证权限
RBAC 核心不是“用户→权限”，而是“用户→角色→权限”。跳过角色直接赋权（比如用 ManagerInterface::assign() 给用户绑 Permission）虽技术可行，但破坏层级逻辑，后续难以维护。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 先创建角色：
$auth->createRole('editor')，再添加权限：$auth->addChild($editor, $auth->getPermission('updatePost')) - 给用户分配角色用
$auth->assign($role, $userId)，其中$userId必须是整型 ID（字符串 ID 会导致auth_assignment.user_id类型不匹配，查不到） - 验证权限统一走
Yii::$app->user->can('updatePost')，它自动关联当前登录用户的id和所有角色链 - 注意：该方法只对已登录用户有效；未登录时返回
false，不会抛异常
怎么动态加载权限规则（Rule）并避免缓存陷阱
Rule 是带业务逻辑的权限判断钩子，比如“只能编辑自己发布的文章”。但它容易因配置缓存或实例复用失效。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- Rule 类必须继承
yii\rbac\Rule，且重写execute()方法，第一个参数是$user（ID），第二个是$item（AuthItem对象），第三个是$params（传入can()的额外参数） - 注册 Rule 时必须用
$auth->add($rule)，不能只 new 出来就完事；否则can()完全不调用它 - 开发阶段务必关掉
authManager的缓存（如'cache' => null），否则改了 Rule 代码也不生效；生产环境可配'cache' => 'cache'，但要确保缓存组件可用 - 常见坑：
execute()返回null或未定义值会被当false处理，务必显式返回true/false
怎么在控制器中拦截无权限请求而不暴露细节
直接在 action 里写 if (!Yii::$app->user->can(...)) throw new ForbiddenHttpException() 看似简单，但分散、难复用，且错误页可能泄露权限名。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 在控制器
behaviors()中配'access'行为，用'roles' => ['@']控制登录，用'permissions' => ['updatePost']控制权限（需开启'enableRBAC' => true） - 更精细控制用
'rules'数组，每条 rule 可指定'actions'、'roles'、'permissions'、'allow'，顺序重要——前面 match 到就终止 - 禁止用
beforeAction()手动校验后return false，这会跳过 Yii 的异常处理流程，导致 403 响应头缺失或日志不全 - 默认
ForbiddenHttpException显示 “You are not allowed to perform this action.”，如需隐藏权限名，重写AccessControl::denyAccess()或全局捕获该异常
Rule 的 execute() 方法里访问数据库要格外小心——它可能在任意 can() 调用中触发，包括视图渲染时，容易引发 N+1 查询；权限逻辑越轻量越好，复杂判断尽量前置到 controller 层。
