Yii2.0.55中rules()配置必须精准：1. 必填用required+skipOnEmpty兜底；2. type类验证器需注意integerOnly、strict等参数；3. unique/exist依赖数据库索引；4. file/image校验含真实尺寸检测；5. 自定义验证须显式注册。
确保用户提交的数据符合业务逻辑与安全边界，避免脏数据入库或越权操作，必须在Yii2.0.55中精确配置rules()方法里的每一条验证规则——漏写required可能让空字符串直接写入数据库，错配skipOnEmpty会导致null值绕过整数校验，不设when条件会让密码强度检查在重置场景下误触发。
必填与空值控制
字段是否为空不能只靠前端拦截，后端必须用required+skipOnEmpty组合兜底。
第一步：声明必填项，如[['username', 'email'], 'required']，这会拒绝null、''、[]三类空值。
第二步：对允许为空但非空时需校验的字段（如手机号），加skipOnEmpty => true，否则当用户没填该字段时，后续的phone格式校验仍会执行并报错。
第三步：若字段值为"0"或false也应视为有效输入（比如开关状态），则必须显式设置strict => false，【否则'0'会被当成空值跳过验证】。
格式与类型校验
type类验证器（如integer、email）默认会尝试类型转换，不是单纯正则匹配。
['age', 'integer'] → 接受"25"、25，但拒绝"25.5"、"twenty-five"。
['email', 'email'] → 仅做基础RFC 5322格式检查，不查MX记录，也不发验证邮件。
['salary', 'number'] → 允许浮点，但['salary', 'integer', 'integerOnly' => true]才强制整数，【漏写integerOnly会导致123.45通过整数校验】。
长度、范围与枚举值
方法一：字符串长度用string规则，支持min/max或length数组两种写法。
['title', 'string', 'min' => 1, 'max' => 100] → 最短1字符，最长100字符。
['level', 'in', 'range' => [1, 2, 3]] → 只接受1、2、3三个整数值，注意PHP松散比较："1" == 1 默认成立。
方法二：数值范围用compare，operator支持>=、!=、===等，比in更灵活。
['score', 'compare', 'compareValue' => 0, 'operator' => '>='] → 分数不能为负。
唯一性与存在性验证
unique用于防止重复注册，exist用于校验关联数据是否存在。
['email', 'unique', 'targetClass' => User::class, 'filter' => ['status' => User::STATUS_ACTIVE]] → 只在激活用户中查重。
['category_id', 'exist', 'targetClass' => Category::class, 'targetAttribute' => 'id'] → 确保外键真实存在。
注意：这两个验证器都依赖数据库查询，【必须确保targetClass对应表有索引，否则高并发下会拖慢响应】。
文件与图片上传校验
file规则管通用文件，image是file的子类，自带宽高检测。
['avatar', 'image', 'extensions' => ['png', 'jpg'], 'minWidth' => 200, 'maxHeight' => 600] → 不仅验扩展名，还读取图片头信息判断真实尺寸。
['log_file', 'file', 'extensions' => ['txt', 'log'], 'maxSize' => 5120000] → 单位是字节，5120000 = 5MB。
这一步操作起来很简单，直接把文件拖进去就行。
自定义验证逻辑
内联验证适合一次性逻辑，如两次密码比对；独立验证类适合复用场景，如身份证号校验。
内联写法：['password_repeat', function ($model, $attribute) { if ($model->password !== $model->password_repeat) $model->addError($attribute, '密码不一致'); }]。
独立类写法：创建IDCardValidator extends Validator，重写validateAttribute()，类名必须以Validator结尾。
无论用哪种，都必须在rules()里显式注册，否则框架根本不会调用。
