Symfony可构建生产级REST API，只需framework-bundle和http-kernel；禁用templating/assets；用JsonResponse而非Response；显式控制序列化组；统一错误响应格式；严格遵循HTTP语义与缓存头。
Symfony 本身不自带“RESTful API 框架”，但用它搭出生产级 REST API 完全可行——关键不是装一堆 bundle，而是选对组件、约束好行为、关掉干扰项。
用 symfony/framework-bundle + symfony/http-kernel 就够了
别急着装 FOSRestBundle 或 API Platform。90% 的轻量 API（如内部服务、管理后台接口）只需原生组件：
-
framework-bundle提供路由、控制器基类、序列化配置入口 -
http-kernel让你能手动控制响应状态码、Content-Type 和 body 输出 - 禁用
templating和assets，避免 Symfony 自动注入 HTML 相关逻辑 - 在
config/packages/framework.yaml中显式关闭：templating: false，assets: false
JsonResponse 要比 Response 多做三件事
直接 new Response(json_encode($data)) 是错的：缺 Content-Type、没字符集、状态码默认 200 不够细。用 JsonResponse 才是正解：
- 自动设
Content-Type: application/json; charset=utf-8 - 支持传入状态码：
new JsonResponse($data, 201)（比如 POST 成功返回 201） - 内置 JSON 编码容错：
JsonResponse::fromJsonString()可捕获json_last_error()异常 - 注意：如果数据含 DateTime 对象，
JsonResponse默认不处理，得提前用$dt->format('c')或配serializer
别让 serializer 自动暴露所有属性
Symfony 的 serializer 默认会把实体所有 public 属性和 getter 都序列化，这容易泄露敏感字段（比如 User::$passwordHash）：
- 用
@Groups显式声明组：@SerializedName("email") @Groups({"api_read"}) - 控制器里指定组：
$serializer->serialize($user, 'json', ['groups' => 'api_read']) - 或更彻底：禁用默认序列化器，改用
json_encode()+ DTO 手动构造数组（适合字段少、结构固定的接口） - 别依赖
__toString()或魔术方法输出 JSON —— 它们不在序列化白名单里，且不可控
错误响应必须统一格式，且不能暴露堆栈
开发环境能看到异常堆栈很爽，但生产环境返回 500 Internal Server Error + 堆栈是严重安全问题：
- 写一个
ApiExceptionListener，监听KernelEvents::EXCEPTION - 对
HttpException子类（如NotFoundHttpException），提取$e->getStatusCode()和$e->getMessage() - 对其他异常，一律返回
500+ 通用提示（如"Something went wrong"），日志里记完整异常 - 别用
debug: true上生产；APP_ENV=prod下debug必须为false
最易被忽略的是 HTTP 方法语义和缓存头：PUT/PATCH 要校验 If-Match ETag，GET 响应该带 Cache-Control，这些不写进控制器逻辑，就真只是“能跑”，不是“能用”。
