symfony框架安全组件(security)防火墙配置

最近改了下之前用symfony做的项目，然后，突然发现防火墙失效了，简单说就是再未登录状态下居然可以访问配置了ROLE_USER、ROLE_ADMIN这些权限的路由，symfony框架很强大，但是文档太拉跨，尤其关于防火墙配置这块真的就是说了个屁。由于时间过的太久，一些防火墙配置的关键特性忘记了，排查解决这个问题花了1天时间、郁闷，做个笔记吧，避免下次再忘。。。

symfony的安全组件名为 symfony/security-bundle，一般创建项目后就已经有了，也可以单独composer require;

配置

配置文件：

# config/packages/security.yaml

安全组件配置的几个关键特性：

1. providers 用户提供者（至少有一个）一般为用户实体
2. firewalls 防火墙（可以有多个，通过firewalls.pattern属性里的正则匹配路由）
3. guard.authenticators 路由守卫/身份验证程序（一个服务名）
4. access_control 访问控制指定某个/某些路由的访问权限（可以使用正则，更精确的匹配规则会覆盖宽泛的匹配规则）

案例：

# config/packages/security.yaml
security:
    # https://symfony.com/doc/current/security.html#where-do-users-come-from-user-providers

    providers:
      # users_in_memory: { memory: null }
      app_user_provider:
        entity:
          class: 'App\Entity\User'
          property: 'username'       

    firewalls:
      dev:
        pattern: ^/(_(profiler|wdt)|css|images|js)/
        security: false

      api:
        pattern: ^/api/
        stateless: true
        anonymous: true
        provider: app_user_provider
        guard:
          authenticators:
            - lexik_jwt_authentication.jwt_token_authenticator           

      main:
        pattern: ^/_api/
        stateless: true
        anonymous: true
        # anonymous: lazy
        provider: app_user_provider
        # logout: ~
        # json_login:
        #   check_path: /_api/authentication
        #   username_path: username
        #   password_path: password
        #   success_handler: lexik_jwt_authentication.handler.authentication_success
        #   failure_handler: lexik_jwt_authentication.handler.authentication_failure
        guard:
          authenticators:
            - lexik_jwt_authentication.jwt_token_authenticator        

    # 7-31
    encoders:
      # legacy:
      #   algorithm: sha256
      #   encode_as_base64: false
      #   iterations: 1

      # use your user class name here
      App\Entity\User:
        # the new encoder, along with its options
        algorithm: sha256  # 指定用户密码的编码算法
        migrate_from:
          - bcrypt # uses the "bcrypt" encoder with the default options
          - legacy # uses the "legacy" encoder configured above

    # Easy way to control access for large sections of your site
    # Note: Only the *first* access control that matches will be used
    access_control:
      # 无需登录的路由
      - { path: /_api/pano_like, roles: IS_AUTHENTICATED_ANONYMOUSLY }
      - { path: /_api/project/rand, roles: IS_AUTHENTICATED_ANONYMOUSLY }
      # 登录注册相关
      - { path: /_api/authentication, roles: IS_AUTHENTICATED_ANONYMOUSLY }
      - { path: /_api/register, roles: IS_AUTHENTICATED_ANONYMOUSLY }
      - { path: /_api/refresh, roles: IS_AUTHENTICATED_ANONYMOUSLY }
      - { path: /_api/auth_code, roles: IS_AUTHENTICATED_ANONYMOUSLY }
      - { path: /_api/reset_pass_auth_code, roles: IS_AUTHENTICATED_ANONYMOUSLY }
      # api 文档页
      - { path: ^/api$, roles: IS_AUTHENTICATED_ANONYMOUSLY }
      # - { path: /, roles: IS_AUTHENTICATED_ANONYMOUSLY  }

      # 需要控制权限的路由
      - { path: ^/api/, roles: ROLE_USER }
      - { path: ^/_api/, roles: ROLE_USER }
      - { path: ^/admin, roles: ROLE_ADMIN }

    # 角色分层
    role_hierarchy:
      ROLE_ADMIN:       ROLE_USER
      ROLE_SUPER_ADMIN: [ROLE_ADMIN, ROLE_ALLOWED_TO_SWITCH]
      ^ROLE_CUSTOM_:    ROLE_USER      #自定义角色继承ROLE_USER

我这里使用的是symfony4.4,其他版本类似。

官方文档：安全性 （Symfony 4.4 Docs）