Symfony API令牌认证需选稳、可维护、合规方案：一用LexikJWTAuthenticationBundle快速落地JWT；二用SecurityBundle原生支持OIDC/OAuth2/CAS；三自定义Authenticator灵活扩展，均须配防火墙、提取、验证、用户加载四环节。
Symfony API 令牌认证不是选“用不用”的问题，而是选“怎么用才稳、可维护、符合场景”的问题。核心就两条路：用现成 Bundle（如 LexikJWTAuthenticationBundle）快速落地；或用 SecurityBundle 原生 AccessToken 机制对接 OIDC/OAuth2/CAS 等标准协议。两者都依赖防火墙配置、令牌提取、验证逻辑和用户加载这四个环节，缺一不可。
用 LexikJWTAuthenticationBundle 快速启用 JWT
这是绝大多数内部 API 或前后端分离项目的首选方案，开箱即用、文档成熟、社区支持强。
- 安装后运行
php bin/console lexik:jwt:generate-keypair生成 RSA 密钥对，存到config/jwt/目录下 - 在
config/packages/lexik_jwt_authentication.yaml中指定密钥路径和过期时间（例如token_ttl: 3600） - 在
security.yaml中为 API 路由配独立防火墙，启用jwt: ~，并设为stateless: true - 登录接口用
json_login触发令牌签发；后续请求带Authorization: Bearer <token>即可自动验证
用 SecurityBundle 原生支持 OIDC/OAuth2/CAS
适合需要对接企业级身份源（如 Keycloak、Auth0、学校 CAS 系统）的场景，强调协议合规性和多租户能力。
- 配置在
security.firewalls.main.access_token下，按协议选oidc、oauth2或cas - OI DC 需声明 issuer、audience、签名算法（如
ES256）和 JWK keyset；OAuth2 通常走内省（introspection）端点验证 - 令牌可从 Header（默认
Authorization）、Query 参数或 Cookie 提取，通过token_extractors控制 - 验证通过后，SecurityBundle 自动调用 UserProvider 加载用户，角色等信息可从 token claim 映射
自定义认证器：灵活但需动手写逻辑
当标准 Bundle 或原生支持不够用（比如要验自研签名、混合 token 类型、或做细粒度风控），就得写自己的 Authenticator。
- 继承
AbstractAuthenticator（Symfony 5.3+ 推荐）或AbstractGuardAuthenticator（旧版） - 重写
supports()判断是否处理当前请求（例如检查 header 是否含X-Api-Key） -
authenticate()中解析并验证 token，抛出CustomUserMessageAuthenticationException返回友好错误 -
createAuthenticatedToken()将用户和凭证打包成 Token，交由 Security 系统后续授权
安全配置必须同步到位
再好的令牌逻辑，没配对 firewall 和 access_control，就等于没锁门。
- 防火墙要明确
pattern范围，API 接口建议单独设一个（如^/api），避免和登录页混用 -
stateless: true是无状态 API 的硬性要求，否则会尝试写 session，破坏设计初衷 -
access_control规则要分层：登录路径放行PUBLIC_ACCESS，核心接口限制IS_AUTHENTICATED_FULLY，高危操作加角色（如ROLE_ADMIN） - 别忘了启用新认证管理器：
enable_authenticator_manager: true（Symfony 5.3+ 必须）
