Symfony角色设置核心在于命名规范、配置位置和继承逻辑：角色必须以ROLE_开头，getRoles()返回合法字符串数组；role_hierarchy定义继承关系；access_control和isGranted()实现路径与代码级权限控制。
Symfony角色设置核心在于命名规范、配置位置和继承逻辑三个关键点。角色不是随便起个名字就能用的，必须以 ROLE_ 开头，大小写敏感，且需在用户对象和安全配置中保持一致。
角色命名与用户对象定义
用户类中的 getRoles() 方法必须返回字符串数组，每个元素都得是合法角色名：
- ✅ 正确写法：
return ['ROLE_USER', 'ROLE_EDITOR']; - ❌ 错误写法：
return ['user', 'editor']（缺前缀）、return 'ROLE_USER'（不是数组）、return null（空值）
若从数据库加载用户，请确保 loadUserByIdentifier() 返回的 UserInterface 实例里 getRoles() 满足上述要求。可用 dump($this->getUser()) 实时验证返回内容。
安全配置中定义角色层级
在 config/packages/security.yaml 中用 role_hierarchy 显式声明继承关系，否则角色之间不自动传递权限：
security:
role_hierarchy:
ROLE_ADMIN: ROLE_USER
ROLE_SUPER_ADMIN: [ROLE_ADMIN, ROLE_ALLOWED_TO_SWITCH]
这样，拥有 ROLE_ADMIN 的用户会自动获得 ROLE_USER 的所有访问权限，无需重复赋权。
在控制器或模板中检查角色
使用 AuthorizationChecker 的 isGranted() 方法判断权限：
- 控制器内：
$this->isGranted('ROLE_ADMIN') - Twig 模板中：
{% if is_granted('ROLE_EDITOR') %}...{% endif %}
注意：内置表达式如 IS_AUTHENTICATED_FULLY 或 IS_AUTHENTICATED_ANONYMOUSLY 是特殊标记，不是角色，不能用于 getRoles() 返回值中。
URL路径级的角色控制
通过 access_control 规则限制整个路由前缀的访问权限：
security:
access_control:
- { path: ^/admin, roles: ROLE_ADMIN }
- { path: ^/profile/edit, roles: ROLE_USER }
- { path: ^/api/, roles: IS_AUTHENTICATED_FULLY }
路径支持正则语法，例如 ^/user/\d+$ 可精确匹配用户详情页，避免过度开放。
