Symfony 7 不支持内置 OAuth2 配置，因其移除了 GuardAuthenticatorInterface，SecurityBundle 仅管理已登录用户上下文，不处理授权码交换、token 刷新等应用层逻辑，需手动实现 AuthenticatorInterface 或借助 knpuniversity/oauth2-client-bundle 封装 HTTP 交互。
Symfony 7 中不能用 Guard，也不能靠 SecurityBundle 自动处理 OAuth2 流程；你必须手写 AuthenticatorInterface 实现，或使用 knplabs/knpuniversity/oauth2-client-bundle 封装底层细节。
为什么 Symfony 7 不支持内置 OAuth2 配置？
Symfony 7 完全移除了 GuardAuthenticatorInterface，且 SecurityBundle 的认证体系只负责“已登录用户”的上下文管理，不提供 OAuth2 授权码交换、token 刷新、用户资料拉取等逻辑。这些属于应用层职责，框架只暴露钩子（如 authenticate()）让你填。
- OAuth2 是跨请求状态机：重定向 → 回调 → 换 token → 获取用户 → 创建/查找用户 → 登录，无法压缩进单次
supports()+authenticate()调用 -
security.yaml里写的form_login、json_login等都只适用于密码型流程，对redirect_route或access_token参数无感知 - 官方不维护 OAuth2 provider 列表；
oauth2-client-bundle是社区事实标准，但它是独立组件，和 Security 配置解耦
用 knpuniversity/oauth2-client-bundle 快速启动
它不侵入 Security 流程，只帮你完成「HTTP 层交互」：构造授权 URL、解析回调参数、换 access_token、调用 API。认证器仍需你写，但省去 HttpClient 和 JSON 解析样板。
- 安装：
composer require knplabs/knpuniversity/oauth2-client-bundle - 配置 provider（如 GitHub）在
config/packages/knpu_oauth2_client.yaml：knpu_oauth2_client: clients: github: type: github client_id: '%env(GITHUB_CLIENT_ID)%' client_secret: '%env(GITHUB_CLIENT_SECRET)%' redirect_route: security_github_connect - 注册路由：
security_github_connect必须指向一个控制器方法，该方法调用$client->redirect()发起跳转 - 回调路由（如
/connect/github/check）对应的方法里，调用$client->getAccessToken()和$client->fetchUserFromToken()
手写 AuthenticatorInterface 处理回调
回调控制器拿到用户数据后，不能直接 $this->getUser() 或 $this->redirectToRoute('dashboard') ——你得手动构建 Passport 并交给 Security 系统。
- 认证器类必须实现
AuthenticatorInterface，但supports()在 OAuth2 场景下几乎总返回false，因为请求来自第三方回调，不是常规登录表单 - 真正逻辑在
authenticate()：从$request->query->get('code')提取授权码，用HttpClient换 token，再请求用户信息 - 查库或创建
User实体后，返回new Passport($userBadge, $userBadges, $securityToken)，其中$userBadge是NewUserBadge或UserBadge - 务必在
onAuthenticationSuccess()中重定向到目标页面，否则浏览器会卡在回调地址上
容易忽略的三个关键点
OAuth2 在 Symfony 7 中不是“配一下就能用”的功能，而是需要你主动拆解协议步骤并桥接进认证生命周期。
-
redirect_route必须是公开可访问的路径（不能加is_granted），否则 GitHub 重定向回来时会 403 - 回调地址中的
state参数必须校验，否则存在 CSRF 风险；oauth2-client-bundle默认启用，手写时得自己存 session + 对比 - 用户实体的
getPassword()方法在 OAuth2 场景下可以返回null，但必须实现UserInterface，且eraseCredentials()要清空临时 token 字段
