如何在accessRules中设置只允许某用户有权访问某动作? [ 新手入门 ]

public function accessRules()
{
    return array(
        /*
        array('allow',  // 允许所有用户访问 'index'、'view'和'captcha' 动作.
            'actions'=>array('index','view','captcha'),
            'users'=>array('*'),
        ),
        */
        array('allow', // 允许认证用户访问所有动作
            'actions'=>array('admin','delete'),
            'users'=>array('demo'),
        ),
        array('deny',  // 拒绝所有的用户。
            'users'=>array('*'),
        ),
    );
}

这样写,其他用户仍可访问admin 和delete,为什么?