Symfony安全组件需显式配置防火墙、用户提供者、用户类契约和授权检查四要素：防火墙须匹配请求路径并启用form_login；用户提供者需正确配置实体及唯一字段；User类必须实现UserInterface等接口；权限判断须用AuthorizationCheckerInterface而非直接读取roles。
Symfony 安全组件不是装上就能用的“安全开关”，它是一套需显式配置、可组合的安全系统。用不好常出现登录不触发、认证失败、权限判断无效等问题，核心在于防火墙、用户提供者、用户类契约和授权检查这四点是否对齐。
防火墙必须覆盖请求路径
登录表单提交后没反应？大概率是防火墙没拦到你的 POST 请求。Security 管道只处理被某个 firewall 的 pattern 匹配到的请求。
- 检查 config/packages/security.yaml 中 firewall 的 pattern 是否包含登录路径，比如你的路由是
/auth/login，pattern 就不能只写^/admin，至少得是^/auth或更宽泛的^/ - 确认
form_login已启用，且login_path（GET 页面）和check_path（POST 提交目标）与实际路由名或路径完全一致 - 注意：多个 firewall 按定义顺序匹配，第一个 pattern 匹中的就生效，别让 dev 或 api 防火墙提前“截胡”
用户提供者要能查到用户
防火墙接住了请求，但找不到用户，认证也会失败。常见于使用 Doctrine 实体做用户源时配置不全。
- 若用数据库用户，providers 应配置
entity，指定class（如App\Entity\User）和唯一标识字段（property: email或id） - 确保该 User 实体已映射主键（Doctrine identifier），否则
EntityUserProvider会抛 “You cannot refresh a user…” 错误 - 内存提供者仅适合测试，正式环境请用 entity 或自定义 provider
User 类必须实现关键接口方法
不是字段有 username/password 就行，Security 在流程中会主动调用特定方法，缺一不可。
- 必须实现
UserInterface，并提供三个核心方法：
getRoles()：返回非空字符串数组，如['ROLE_USER']；返回[]或null会直接中断认证
getPassword()：返回已哈希密码（如$2y$13$...），绝不能返回明文
getUserIdentifier()（Symfony 6.1+）或getUsername()（旧版）：值需唯一稳定，推荐邮箱或 ID - 建议实现
EquatableInterface，或确保isEqualTo()合理，否则登录后 Session 用户可能被判定为“不相等”而反复重加载
权限判断要用 AuthorizationCheckerInterface
在控制器里直接读 $user->getRoles() 是错的——角色继承、voter、表达式等机制全被绕过。
- 注入
AuthorizationCheckerInterface $authChecker - 判断角色：
$authChecker->isGranted('ROLE_ADMIN')（注意 ROLE_ 前缀必须大写） - 判断自定义权限（如编辑某篇文章）：
$authChecker->isGranted('EDIT_POST', $post)，这才会触发你写的 Voter
