rest api RBAC权限与ACF问题 [ 2.0 版本 ]

我在给REST api 配置 RBAC 权限时发现 使用ACF 会优先执行全局配置的ACF可时用户信息还未认证

RBAC 是 ACF 在配置文件中配置的 as access
认证是 Controller 中的 behaviors中配置的 authenticator

这样做会在 authenticator 还未生效时就执行的是 access 的 RBAC认证
我尝试将Access 写在Controller 的behaviors 中但是这样就必须每个 Controller都要加 behaviors
但是第三方的插件扩展是不能每个都去加的 请问这有什么解决方案么？

以下是部分代码

配置文件中设置

···//
    'as access' => [
        'class' => 'mdm\admin\components\AccessControl',
        'allowActions' => [
            //这里是允许访问的action
            //controller/action
            'user/login',
            'user/signup',
            //'*'
        ]
    ],
//...

Controller 中代码

...//
   public function behaviors() {

        return ArrayHelper::merge ([
            'contentNegotiator' => [
                'class' => ContentNegotiator::className(),
                'formats' => [
                    'application/json' => Response::FORMAT_JSON,
                ],
            ],
            'authenticator' => [
                'class' => CompositeAuth::className(),
                'authMethods' => [
                    HttpBasicAuth::className(),
                    HttpBearerAuth::className(),
                    [
                        'class' => QueryParamAuth::className(),
                        'tokenParam' => 'token',
                    ],
                ],
                'optional' => $this->authOptional(),
            ],
        ]
        ],parent::behaviors());
//...