Symfony 5.3 中 JWT 认证与访问控制的配置指南

// 假设 $jwt 变量已经包含了生成的JWT字符串
$body = [
    'auth_token' => $jwt,
];
// 返回包含JWT的JSON响应
return new JsonResponse($body, 201);

security:
    # 启用 Authenticator Manager，Symfony 5.3+ 推荐
    enable_authenticator_manager: true

    # 密码哈希器配置
    password_hashers:
        Symfony\Component\Security\Core\User\PasswordAuthenticatedUserInterface: 'auto'

    # 旧版密码编码器（如果仍在使用）
    encoders:
        App\Entity\ATblUsers:
            algorithm: bcrypt

    # 用户提供者配置
    providers:
        # 内存用户提供者，仅用于演示或简单场景
        users_in_memory: { memory: null }
        # 生产环境通常会配置 Doctrine ORM 用户提供者
        # app_user_provider:
        #    entity:
        #        class: App\Entity\User
        #        property: email

    # 防火墙配置
    firewalls:
        # 开发环境防火墙，跳过安全检查
        dev:
            pattern: ^/(_(profiler|wdt)|css|images|js)/
            security: false

        # 主防火墙，处理大部分应用程序请求
        main:
            # Guard 认证器配置
            guard:
                authenticators:
                    - App\Security\JwtAuthenticator # 指定我们自定义的JWT认证器
            lazy: true # 懒加载认证器
            provider: users_in_memory # 使用上面定义的用户提供者
            stateless: true # 关键：声明此防火墙是无状态的，不使用会话

    # 访问控制规则
    # 注意：只有第一个匹配的规则会被使用
    access_control:
        # 允许 /authenticate 路径公开访问，用于获取JWT令牌
        - { path: ^/authenticate, roles: PUBLIC_ACCESS }
        # 所有其他路径（除了dev和authenticate）都需要完全认证才能访问
        - { path: ^/, roles: IS_AUTHENTICATED_FULLY }

<?php

namespace App\Security;

use Doctrine\ORM\EntityManagerInterface;
use Symfony\Component\DependencyInjection\ParameterBag\ContainerBagInterface;
use Symfony\Component\HttpFoundation\JsonResponse;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Firebase\JWT\JWT; // 确保已安装 firebase/php-jwt 库
use Symfony\Component\Security\Guard\AbstractGuardAuthenticator;

class JwtAuthenticator extends AbstractGuardAuthenticator
{
    private $em;
    private $params;

    public function __construct(EntityManagerInterface $em, ContainerBagInterface $params)
    {
        $this->em = $em;
        $this->params = $params;
    }

    /**
     * 当用户未认证访问受保护资源时调用
     */
    public function start(Request $request, AuthenticationException $authException = null): JsonResponse
    {
        return new JsonResponse(['message' => 'Authentication Required'], Response::HTTP_UNAUTHORIZED);
    }

    /**
     * 判断当前请求是否应该由这个认证器处理
     * 如果请求头中包含 'Authorization'，则尝试处理
     */
    public function supports(Request $request): bool
    {
        return $request->headers->has('Authorization');
    }

    /**
     * 从请求中获取认证凭据（这里是JWT令牌）
     */
    public function getCredentials(Request $request)
    {
        return $request->headers->get('Authorization');
    }

    /**
     * 根据凭据加载用户
     * 解码JWT，从令牌中提取用户ID，并从数据库加载用户实体
     */
    public function getUser($credentials, UserProviderInterface $userProvider)
    {
        try {
            // 移除 'Bearer ' 前缀
            $token = str_replace('Bearer ', '', $credentials);

            // 获取JWT密钥，确保在 services.yaml 或 parameters.yaml 中定义了 'jwt_secret'
            $secret = $this->params->get('jwt_secret');

            // 解码JWT令牌
            // 注意：Firebase\JWT\JWT::decode 在 v6.x 后第二个参数要求 Key 对象
            // 如果你使用的是旧版本（如v5.x），可以直接传入字符串密钥
            // 对于新版本，需要使用 new Key($secret, 'HS256')
            $decodedJwt = (array) JWT::decode($token, $secret, ['HS256']);

            // 从解码后的令牌中获取用户ID（通常在 'sub' 字段）
            $userId = $decodedJwt['sub'];

            // 从数据库中查找用户
            return $this->em->getRepository('App:ATblUsers')->find($userId);
        } catch (\Exception $exception) {
            // 捕获JWT解码失败或用户查找失败的异常
            throw new AuthenticationException('Invalid JWT Token: ' . $exception->getMessage());
        }
    }

    /**
     * 检查凭据是否有效
     * 对于JWT，令牌本身包含了认证信息，所以通常无需额外检查
     */
    public function checkCredentials($credentials, UserInterface $user)
    {
        // JWT的有效性已在 getUser 方法中通过解码和签名验证
        return true;
    }

    /**
     * 认证失败时的处理
     */
    public function onAuthenticationFailure(Request $request, AuthenticationException $exception): JsonResponse
    {
        return new JsonResponse([
            'message' => 'Authentication Failed: ' . $exception->getMessage()
        ], Response::HTTP_UNAUTHORIZED);
    }

    /**
     * 认证成功时的处理
     */
    public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $providerKey)
    {
        // 认证成功，继续处理请求
        return null;
    }

    /**
     * 对于无状态API，通常不支持“记住我”功能
     */
    public function supportsRememberMe(): bool
    {
        return false;
    }
}