Yii2中验证自定义参数的核心是将其纳入验证流程，常用方案包括：挂载为模型属性后验证、使用内联验证器、或脱离模型手写逻辑，需注意字段存在性、空值处理及客户端验证限制。
Yii2 表单请求中对自定义参数做验证，核心在于把“非模型字段”或“动态字段”纳入验证流程。这类场景常见于搜索表单、API 请求体、JSON 参数解析、或前端传来的额外标识字段（如 source、scene、callback_url 等），它们不在模型属性中直接声明，但又必须校验合法性、格式或业务逻辑。
明确验证目标：哪些参数算“自定义”？
所谓“自定义参数”，指以下任一情况：
- 未在模型类中声明为 public 属性（比如没写
public $scene;） - 来自
$_GET或$_POST的额外键，但未被load()自动映射 - 通过
Yii::$app->request->get('xxx')或post('xxx')单独获取的值 - 解析 JSON 请求体后得到的嵌套字段（如
data.options.timeout）
方案一：把参数临时挂到模型上再验证
最常用也最符合 Yii2 风格的做法——扩展模型属性，让规则系统能识别它。
步骤如下：
- 在模型类中声明该字段为
public（即使不存库）：public $scene; - 在
rules()中添加对应规则：[['scene'], 'in', 'range' => ['web', 'app', 'mini'], 'message' => '来源类型不合法'] - 加载时显式指定字段：
$model->load(Yii::$app->request->post(), '')（空前缀避免自动加 model 名）
或更稳妥地手动赋值：$model->scene = Yii::$app->request->post('scene', 'web'); - 调用
$model->validate(['scene'])可只验证这一项，避免其他字段干扰
方案二：用内联验证器校验独立变量
适用于不想污染模型属性、或参数是计算所得（如拼接后的签名、时间戳差值）。
- 在
rules()中定义一个“虚拟字段”规则，字段名可任意（如'_signature_check'）：[['_signature_check'], function ($attribute) {<br> $sign = Yii::$app->request->get('sign');<br> $expected = md5($this->uid . $this->ts . 'secret');<br> if ($sign !== $expected) {<br> $this->addError($attribute, '签名验证失败');<br> }<br>}], - 注意：这个字段无需在模型中声明，但验证方法里要用
$this->addError()绑定错误到该字段名 - 提交时只要确保该字段参与验证（如
$model->validate()或$model->validate(['_signature_check'])）即可
方案三：脱离模型，手写验证逻辑（适合轻量 API）
当整个请求结构松散、无固定模型时，可跳过 Model 验证层，直接操作 request 数据。
- 提取参数：
$params = Yii::$app->request->getBodyParams(); // 或 get() - 逐项检查并收集错误：
$errors = [];<br>if (!isset($params['user_id']) || !is_numeric($params['user_id'])) {<br> $errors['user_id'] = '用户 ID 必须为数字';<br>}<br>if (empty($params['action']) || !in_array($params['action'], ['create', 'update'])) {<br> $errors['action'] = '操作类型不支持';<br>} - 有错误就返回：
if (!empty($errors)) {<br> return $this->asJson(['code' => 400, 'errors' => $errors]);<br>}
关键细节提醒
避免踩坑要注意这几条：
- 内联验证器中若字段可能为空，需手动判断是否跳过，否则会误报错：
if ($this->scene === null || $this->scene === '') { return; } - 客户端验证（Ajax 验证）默认不支持内联规则，如需实时反馈，得配合 JavaScript 手动触发或改用内置验证器
- 使用
validateAttribute()的独立验证类时，字段名必须真实存在且已加载，否则验证器收不到值 - 批量验证多个自定义字段时，建议统一用数组方式声明规则，例如：
[['scene', 'version'], 'required']，比写两条更清晰
