在 Symfony 4 中，自定义服务应通过依赖注入使用 Security、TokenStorageInterface 和 AuthorizationCheckerInterface 等安全组件，不可 new 实例或硬编码获取；UserInterface 不可直接注入，须从 TokenStorage 获取；实体对象须作为方法参数传入而非构造函数参数。
在 Symfony 4 中，自定义服务需要使用 Security 组件（比如 Security 或 TokenStorageInterface、AuthorizationCheckerInterface）时，不能手动 new 实例或硬编码获取，而应通过依赖注入方式引入。关键前提是：这些安全组件本身是容器注册的服务，可被自动装配；但你自己的服务必须正确声明依赖，且不违反容器生命周期规则。
确保 Security 组件已启用并可注入
Symfony 4 默认启用 SecurityBundle，只要 config/packages/security.yaml 存在且未禁用，以下接口就可在服务中直接类型提示：
-
Security（别名，指向Security类，推荐用于快速访问当前用户和权限） -
TokenStorageInterface（获取当前 token，进而提取用户） -
AuthorizationCheckerInterface（执行isGranted()权限检查） -
UserInterface不可直接注入——它是运行时对象，不是服务；需从TokenStorage获取
在自定义服务中注入 Security 组件
以一个内容审核服务为例，它需要判断当前用户是否有 ROLE_EDITOR 才能执行操作：
namespace App\Service;
use Symfony\Component\Security\Core\Authorization\AuthorizationCheckerInterface;
use Symfony\Component\Security\Core\Security;
class ContentModerationService
{
private Security $security;
private AuthorizationCheckerInterface $authChecker;
public function __construct(
Security $security,
AuthorizationCheckerInterface $authChecker
) {
$this->security = $security;
$this->authChecker = $authChecker;
}
public function canApprove(): bool
{
// 方式一：用 Security 快速判断
if (!$this->security->isGranted('ROLE_EDITOR')) {
return false;
}
// 方式二：用 AuthorizationChecker（等价）
return $this->authChecker->isGranted('ROLE_EDITOR');
}
}
只要类启用了 autowire（默认开启），且构造函数参数类型明确，Symfony 容器会自动解析并注入对应服务。
注意实体不能作为构造参数注入
如果你的服务还需要处理具体用户或媒体实体（如 App\Entity\User），切勿尝试将其写进构造函数：
- ❌ 错误：
public function __construct(Security $security, User $user)——User是数据对象，非容器服务，无法自动装配 - ✅ 正确：把实体作为方法参数传入，例如
public function moderate(User $user, string $action): void - 这样既保持服务无状态、可复用，也避免因容器试图实例化某个“特定用户”而报错
测试时模拟 Security 行为
单元测试中，可通过创建 mock 的 Security 或 TokenStorage 来控制当前用户状态：
- 用
Security::setToken()（在测试中临时设置 token） - 或注入
TokenStorageInterface并替换其 token，更符合真实流程 - 避免在服务里调用
$this->security->getUser()后直接使用属性——先判空，再 cast 或 instanceof 检查类型
