ACF通过roles字段调用Yii::$app->user->can()执行RBAC权限判断，而非直接校验；需正确配置authManager、分配角色/权限、避免误用不存在的permissions键。
ACF 里怎么调用 RBAC 的权限判断
ACF（AccessControlFilter）本身不直接执行 RBAC 权限检查，它只做「角色/权限名」的静态匹配；真正在后台查用户有没有某项 permission 的，是 Yii::$app->user->can()。所以你在 rules 里写的 'roles' => ['editPost']，其实是在让 ACF 去调 Yii::$app->user->can('editPost') —— 这个调用必须基于已配置好的 RBAC 组件（authManager），否则永远返回 false。
常见错误现象：roles 写对了，但始终 403；检查发现 authManager 没配，或者没把用户 assign 到 role，或者 permission 没 addChild 到 role 下。
- 确保
'authManager' => 'yii\rbac\DbManager'或PhpManager已在config/web.php的components中注册 -
Yii::$app->authManager->assign($role, $userId)必须在用户登录后或初始化时显式调用，不会自动关联 - RBAC 数据（role、permission、assignment）默认不缓存，高频访问建议启用
cache配置项
为什么 'permissions' 规则在 ACF 里不生效
ACF 根本不识别 'permissions' 这个键 —— 它只认 'roles' 和 'allow'、'actions' 等原生字段。有人误以为可以写 'permissions' => ['createPost']，结果完全被忽略，ACL 形同虚设。
正确做法只有一个：把 permission 当作 role 名来用。RBAC 允许 permission 和 role 同名、同级，Yii::$app->user->can() 对两者都有效。所以你要控制「创建文章」权限，就定义一个叫 'createPost' 的 permission，然后在 ACF rule 里写 'roles' => ['createPost']。
- permission 和 role 在 DB 表
auth_item里靠type字段区分（1=role，2=permission），但 ACF 不关心这个，只传字符串进去调can() - 不要试图在 ACF 中混用
'roles'和自定义 permission 字段，它不会解析 - 如果需要更细粒度（比如按 post ID 判断），ACF 就不合适了，得改用
beforeAction()或自定义行为
RBAC 数据变更后 ACF 为什么还走旧逻辑
不是 ACF 缓存了规则，而是 Yii::$app->user->can() 在使用 DbManager 时，默认会把 auth 数据缓存到应用生命周期内（即单次请求中多次调用不重复查库）。但如果你在运行时动态增删了 permission 或 assignment，而没清缓存，can() 就会返回过期结果。
典型场景：后台管理员刚给用户分配新角色，刷新页面仍无权限；或删除了某个 permission，但旧 rule 还能通过。
- 开发阶段可临时关掉缓存：
'authManager' => ['class' => 'yii\rbac\DbManager', 'cache' => null] - 生产环境如需热更新，调用
Yii::$app->authManager->invalidateCache()（注意这不是全局清 Yii 缓存） - 避免在控制器 action 里反复调
can()做条件分支，尽量提前在 beforeAction 或行为中统一判断并跳转
ACF + RBAC 在 RESTful API 里容易漏掉的点
Web 应用里 ACF 通常挂载在 controller 的 behaviors()，但在 REST controller（如继承 ActiveController）中，access 行为默认被 authenticator 和 rateLimiter 覆盖，ACF 不会自动生效。
你写了 ACF rules，但 POST /posts 依然没权限拦截，大概率是因为没显式启用它，或者它被放在了错误的位置。
- REST 场景下必须手动在
behaviors()中声明'access'，且要确保它在'authenticator'之后（否则未登录就进不来，根本轮不到 ACF） - 别依赖
ActiveController默认的accessbehavior，它的规则是空的，得自己重写 - API 返回 403 时默认是 HTML 页面，要设
'except' => ['*']或配合ContentNegotiator返回 JSON
can()；RBAC 是后台档案室，得你亲手建好索引、放好证件、定期更新。中间断一环，门卫就只能拒之门外。 
