allow=true，
'roles' => ['@']，
'matchCallback' => function($rule,$action){
}
'roles' => ['@'] 允许认证的用户访问actions中的动作，如果'roles' => ['?']，允许游客的身份访问actions中的动作
allow=true 允许方法actions中的动作，
'matchCallback' 回掉函数用来允许满足条件的允许访问actions中的动作，简单的说，回掉函数就是进行进一步过滤
返回值是true或者false。
例如，学校发出一个公告，用户登陆小程序之后，此用户只可以看到自己所在学校发出的公告
首先actions = ['index'],allow=true, 'roles' => ['@']，允许认证的所有小程序用户都可以访问index方法，
其次在'matchCallback' 回掉函数中，根据此时登陆小程序的用户的id，找到自己所在的学校的公告。
这就在每个用户登陆后，当访问学校发出来的公告时，只能看到自己所在学校发出的公告信息
denyCallback 一般与allow=false配合使用，指的是不允许访问actions中的方法，denyCallback中主要是返回的不允许的内容和提示。 返回值是true或者false。