Нужно сделать авторизацию по OAuth2 для rest api на yii2. Взял вот такое расширение: https://www.yiiframework.com/extension/yii2-oauth2-server
Настроил доступ по access_token, который пока вручную забит в базу. Для этого добавил в behaviors такое поведение:
'tokenAuth' => [
'class' => \conquer\oauth2\TokenAuth::className(),
]
Это работает: с правильным токеном пускает, с неправильным не пускает, совсем без токена код 400.
Что не понятно... По OAuth2 токен, client_id и прочее выдаётся пользователю после того, как он успешно авторизовался на сервере авторизации и после этого он уже с токеном отправляется на сервер ресурсов, где этот токен проверяют.
В моём случае, сервер авторизации и сервер ресурсов - это одно и то же rest api. Клиент должен залогиниться на нём отправив на /api/login post-запрос со своими логином/паролем, как он это делал всегда, и после этого ему должны выдать access_token.
А как он может залогиниться, если на /api/login как и на все методы API уже проверяется токен?
Собственно, вопрос сводится к тому, как подключить поведение не ко всем экшенам контроллера, а только к тем, где оно нужно.