Symfony Security需显式配置防火墙、用户提供者等组件；登录失败主因是防火墙pattern未覆盖登录路径，User类须实现UserInterface及getRoles、getPassword、getUserIdentifier等方法，权限判断应使用AuthorizationCheckerInterface而非直接查角色数组。
Symfony Security 不是开箱即用的“安全开关”，它是一套可组合、需显式配置的认证授权系统；直接复制官方示例大概率会报 AuthenticationCredentialsNotFoundException 或跳过登录直接进后台——问题通常出在防火墙（firewall）未匹配请求路径，或用户提供者（user provider）未正确定义。
为什么登录表单提交后没触发认证？
最常见原因是防火墙配置的 pattern（或现代 Symfony 的 security.firewalls.main.pattern）没覆盖登录路由。比如你定义了 login 路由为 /auth/login，但 firewall 只监听 ^/admin，那 POST 请求根本不会进入 Security 管道。
- 检查
config/packages/security.yaml中 firewall 的pattern是否包含你的登录路径（如^/auth或更宽泛的^/） - 确保该 firewall 启用了
form_login，且login_path和check_path与路由名/路径一致（注意：后者必须是 POST 目标，且不能加requires_channel: https却跑在 http 上） - 确认没有其他 firewall 在前面“抢走”了请求——firewall 按定义顺序匹配，第一个 pattern 匹配的生效
自定义 User 类必须实现哪些接口？
不是只要字段对就行，Security 在认证流程中会调用特定方法。最小可行集是实现 UserInterface，但它依赖三个核心契约：
-
getRoles()：必须返回字符串数组，如['ROLE_USER']；空数组或null会导致认证失败（抛UnsupportedUserException） -
getPassword()：返回已哈希的密码字符串（如$2y$13$...），不能返回明文 -
getUserIdentifier()（Symfony 6.1+）或getUsername()（旧版）：用于查找用户，值需唯一且稳定（推荐用数据库 ID 或邮箱） - 别忘了实现
EquatableInterface或确保isEqualTo()逻辑合理，否则登录后 Session 中的 User 对象可能被判定为“不相等”而重加载失败
如何在控制器里判断用户是否有某权限？
别直接查 $user->getRoles() 数组——角色继承、表达式、属性访问控制（@IsGranted）都绕不开 AuthorizationCheckerInterface。
立即学习“PHP免费学习笔记（深入）”；
- 在控制器中注入
AuthorizationCheckerInterface $authChecker - 用
$authChecker->isGranted('ROLE_ADMIN')判断角色（注意前缀ROLE_必须大写） - 判断自定义权限（如
EDIT_POST）需配合Voter，且isGranted('EDIT_POST', $post)才会触发 voter 的voteOnAttribute() - 若用
@IsGranted('ROLE_EDITOR')注解，确保已启用annotation格式并导入Sensio\Bundle\FrameworkExtraBundle\Configuration\IsGranted（Symfony 5.4+ 推荐用Symfony\Component\Security\Http\Attribute\IsGranted）
CSRF token 验证失败的典型原因
表单提交报 The CSRF token is invalid，往往不是 token 生成错了，而是 session 或 token 存储机制断层。
- 确认登录表单中渲染了
{{ csrf_token('authenticate') }}（对应form_login.csrf_token_generator配置的 intent），且 HTML 表单里用<input type="hidden" name="_csrf_token" value="{{ csrf_token('authenticate') }}"> - 检查 session 是否正常启动：控制器里
$request->hasSession()应为 true；若用nativesession handler，确认session.save_path可写 - 开发环境禁用 HTTPS 时，别在 security 配置里设
requires_channel: https，否则重定向会丢掉 POST 数据和 token - 使用 API 登录（非表单）时，CSRF 默认启用会拦截；应单独配置一个无 CSRF 的 firewall，或关闭
form_login.csrf_parameter
真正卡住人的地方，往往不在“怎么写”，而在“哪个配置项绑定了哪段逻辑”——比如 provider 配在 firewall 下还是全局，entry_point 没配导致匿名访问 403 而不是跳登录页，或者 voter 返回 Vote::ABSTAIN 太多结果始终是 deny。这些链路不画出来，光看文档很难定位。
