Простой вариант - базовый контроллер (от которого потом отнаследуете все остальные) в котором необходимо переопределить метод beforeAction. В нем вы будете проверять ваше условие и выбрасывать ошибку. Это будет работать, но будет несколько неправильно идеологически. В вашем случае, насколько я понимаю, вы проверяете аутентификацию пользователя - можно создать базовый контроллер, с поведением authenticator (подробнее здесь http://www.yiiframework.com/doc-2.0/guide-rest-authentication.html), и значением
[
'class' => CompositeAuth::className(),
'authMethods' => [
[
'class' => UserIDAuth::className(),
],
],
]
где UserIDAuth - это потомок класса AuthMethod реализующий метод authenticate в котором вы осуществите свою проверку и вернете либо аутентифицированного пользователя либо null, если он не найден. Если пользователь не найден - то будет выброшена ошибка. Если найден - то его пропустит дальше, при этом впоследствии можно обращаться к модели аутентифицированного пользователя через Yii::$app->getUser(). Можно переопределить выбрасываемую ошибку на 404. Можно оставить как есть - 403 что возможно будет правильнее для вашего случая. Управлять применением аутентификатора к определенным actionам можно так же через поведение authenticator - поля optional, only, except.
Помимо этого можно использовать поведение access со значением
[
'class' => AccessFilter::className(),
]
в котором фильтром будет выступать реализованный вами класс AccessFilter наследованный от ActionFilter с переопределенным методом beforeAction в котором вы осуществите вашу проверку и вернете булево значение пропускать пользователя дальше или нет.
P.S - если у вас user_id - это действительно значение передаваемое в get параметрах, по которому вы проверяете аутентификацию - хотелось бы предостеречь вас от такой реализации т.к это очень небезопасно - возможно стоит посмотреть в сторону Oauth или хотя бы Basic авторизации поверх https