FrankenPHP本身不处理Symfony权限策略，is_granted()失效主因是X-Forwarded-Proto等关键请求头未正确传递，导致Symfony无法识别HTTPS及真实客户端，需在Caddyfile中显式配置header_up规则确保协议、Host和IP上下文准确透传。
FrankenPHP 本身不处理 Symfony 的权限安全策略（如 security.yaml 中的 role、firewall、access_control），它只负责把请求正确转发给 Symfony 应用并执行 PHP 代码。真正的鉴权逻辑完全由 Symfony 框架自身控制，FrankenPHP 只需确保环境变量、请求头、TLS 状态等关键上下文不被意外截断或污染。
为什么 Symfony 的 is_granted() 在 FrankenPHP 下突然失效？
常见现象是：本地开发用 symfony server:start 正常鉴权，切到 FrankenPHP 后所有 is_granted('ROLE_ADMIN') 都返回 false，或者 security.yaml 中的 access_control 完全不生效。
- 根本原因通常是
$_SERVER['HTTPS']或$_SERVER['REQUEST_SCHEME']未正确设置 —— Symfony 默认依赖这两个值判断是否走 HTTPS，而 FrankenPHP 在反向代理/HTTP/3 场景下可能不自动注入 - 如果你启用了 Caddy 的自动 HTTPS（Let’s Encrypt），但没显式配置
header_up X-Forwarded-Proto https，Symfony 的Request::isSecure()会返回false，导致 firewall 规则跳过 TLS 强制检查，甚至影响 session cookie 的secure标志 - 另一个隐藏坑：FrankenPHP 默认不传递
X-Forwarded-For和X-Forwarded-Host，而 Symfony 的trusted_proxies配置若依赖这些头做 IP 判断或 host 匹配，也会导致 access_control 提前拒绝请求
Caddyfile 中必须加的三行 header 配置
在 FrankenPHP 的 Caddyfile 对应 site 块里，必须显式补全以下 header 转发规则，否则 Symfony 安全组件无法感知真实客户端和协议：
reverse_proxy * {
# 必须：告诉 Symfony 当前是 HTTPS 请求
header_up X-Forwarded-Proto {http.request.scheme}
# 必须：让 Symfony 能正确解析 Host 和 base URL
header_up X-Forwarded-Host {http.request.host}
# 推荐：避免因 IP 伪造导致 trusted_proxies 失效
header_up X-Forwarded-For {http.request.remote.host}
}- 注意：
{http.request.scheme}是 Caddy 的 placeholder，不是字符串字面量；如果用的是 HTTP/3，它会自动为https，不用硬编码 - 若你已在 Symfony 的
framework.trusted_proxies中设了127.0.0.1或localhost，这三行 header 就是唯一能打通信任链的关键 - 漏掉
X-Forwarded-Host会导致 Symfony 生成的 CSRF token URL、重定向地址变成http://localhost，而浏览器同源策略直接拦截
Symfony security.yaml 的两个关键适配点
FrankenPHP 不改变 Symfony 的安全模型，但你要主动确认两处配置是否与嵌入式运行模式兼容：
立即学习“PHP免费学习笔记（深入）”；
-
session.cookie_secure: true必须配合X-Forwarded-Proto生效，否则登录后 session cookie 不带Secure标志，Chrome 会静默丢弃 -
firewall.main.remote_ip这类基于 IP 的限制，在 FrankenPHP + Caddy 架构下实际拿到的是 Caddy 的监听地址（如127.0.0.1），而非真实客户端 IP —— 所以要改用remote_addr+trusted_proxies组合，而不是直接写死 IP 段 - 如果你用
security.firewalls.main.logout.on_success跳转到 HTTPS 地址，确保该 URL 的 scheme 与X-Forwarded-Proto一致，否则会跳到http://被浏览器拦截
最易忽略的是：FrankenPHP 的 worker 模式会让 PHP 进程常驻，而 Symfony 的 security context（比如 TokenStorage）默认是 request-scoped，不会跨请求残留 —— 这点没问题；但如果你手动在 Kernel::boot() 或自定义 Bundle 中缓存了用户对象或权限树，就可能在 worker 生命周期内污染后续请求的安全上下文。
