rommcr

Для себя вопрос решил при помощи модели и кастомных валидаторов.

public $allowedActions = ['action1', 'action2']

- это как раз тот хардкодинг, которого я хотел бы избежать. Чтобы не перечислять все возможные значения action, а передавать их параметрами. Тем более, что для разных контроллеров могут быть разные наборы.

Updated: а ларчик просто открывался.

private $acceptable;

    function setAcceptable($acceptable)
    {
        $this->acceptable = $acceptable;
    }

и в конфигурации роутера:

[
                    'acceptable' => 'action1,action2',
                    'class'      => 'components\MsgidSearch'
.......
                ],