Ок. При рест запросах авторизовываться надо токеном в каждом экшене.
И теперь, если у меня есть экшен actionMembers возвращающий список пользователей и я могу добавить любого в избранное и отмечать тех, кого уже добавил, если я авторизован. Получается надо как то получить Yii::$app->user->id, а для этого пытаться авторизовать каждого. А ваш метод просто закроет доступ к методу всем гостям, но метод должен быть доступен и гостям