identityClass 是 Yii2 认证核心配置，必须指向实现 IdentityInterface 的类，需完整实现 5 个方法，路径须精确；Web 与 API 场景需分别配置，否则导致静默失败或 401 错误。
identityClass 是告诉 Yii2 “用哪个类来查用户、验身份”的关键配置项。它不是可选的，不设或设错，Yii::$app->user->login() 就会失败，isGuest 始终为 true，登录态根本建立不起来。
identityClass 必须指向一个实现 IdentityInterface 的类
这个类不能是普通 Model，必须满足接口契约。常见错误是直接写 'identityClass' => 'app\models\User'，但 User 类里缺了 findIdentity() 或没返回 $this 实例。
- 必须实现 5 个方法：
findIdentity($id)、findIdentityByAccessToken($token)、getId()、getAuthKey()、validateAuthKey($authKey) -
findIdentity()必须用主键（通常是id）查出完整用户对象，不能只查字段、不能返回数组 - 如果类在
common\models\User，配置就得写成'identityClass' => 'common\models\User'，路径错一个字符就报Class not found - 该类通常还要带密码校验逻辑（比如
validatePassword($password)），但这个方法不是接口强制要求的，LoginForm里调用它时要确保存在
Web 页面和 API 场景下 identityClass 配置差异很大
同一个项目前后端或 Web + API 混合时，容易误用同一套 identityClass。Web 依赖 cookie 和 session，API 依赖 token，两者的认证流程和存储方式完全不同。
- Web 场景（如后台管理）：需要
enableSession => true（默认），enableAutoLogin => true，identityCookie可配可不配 - API 场景（如
api/web.php）：必须关掉 session ——'enableSession' => false，否则请求会因 session 启动失败而中断；同时删掉或注释session组件，identityCookie也得去掉 - API 场景下
findIdentityByAccessToken()成为关键入口，数据库表需有access_token字段，且该方法必须返回有效用户对象，不能只查 token 是否存在 - 不要复用 Web 的
User类给 API 用，哪怕结构一样——建议新建api\models\User，明确分离职责
identityClass 配错时最典型的报错现象
不是语法错误，而是运行期静默失败或行为异常，排查成本高。
-
Call to undefined method app\models\User::findIdentity()：类存在，但没写这个静态方法，或方法名拼错（比如写成findByIdentity） -
Trying to get property 'id' of non-object：发生在switchIdentity()内部，说明findIdentity()返回了null或数组，而非对象 - 登录成功但刷新页面立刻变游客：
auth_key字段为空或长度不够 32 位（getAuthKey()返回空字符串，validateAuthKey()必然失败） - API 请求始终 401：
findIdentityByAccessToken()没被调用——检查是否漏配enableSession => false，或请求头没带Authorization: Bearer xxx
真正容易被忽略的是：identityClass 不只是“指定一个类”，它绑定了整个认证生命周期的行为起点。一旦设错，后续所有 Yii::$app->user 的行为都会偏离预期，而且错误不显眼，常被误判为逻辑问题而非配置问题。
