利用Symfony Security组件实现API请求认证与响应处理

// 原始尝试，不推荐用于认证响应
public function onKernelController(FilterControllerEvent $event)
{
    // ... 获取API Key并验证 ...
    if ($token !== $apiKey) {
        // 尝试在此处发送响应，但并非最佳实践
        // $response = new JsonResponse(['message' => 'Invalid API Token'], 401);
        // $event->setResponse($response); // 尽管可行，但不推荐
    }
}

// src/Security/ApiKeyAuthenticator.php
namespace App\Security;

use App\Repository\ApiKeyRepository; // 假设你有一个ApiKey实体和对应的Repository
use Symfony\Component\HttpFoundation\JsonResponse;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Passport;
use Symfony\Component\Security\Http\Authenticator\Passport\SelfValidatingPassport;

class ApiKeyAuthenticator extends AbstractAuthenticator
{
    private $apiKeyRepository;

    public function __construct(ApiKeyRepository $apiKeyRepository)
    {
        $this->apiKeyRepository = $apiKeyRepository;
    }

    /**
     * 判断此认证器是否支持当前请求。
     * 如果返回true，则调用authenticate()方法。
     */
    public function supports(Request $request): ?bool
    {
        return $request->headers->has('x-auth-token');
    }

    /**
     * 从请求中提取认证凭证（API Key）。
     * 返回一个Passport对象，其中包含用户身份和凭证。
     */
    public function authenticate(Request $request): Passport
    {
        $apiToken = $request->headers->get('x-auth-token');
        if (null === $apiToken) {
            // 如果没有API Key，则抛出认证异常
            throw new AuthenticationException('No API token provided');
        }

        // 在实际应用中，你可能需要根据API Key查找对应的用户或API Key实体
        // 这里简化为直接验证API Key
        $validApiKey = $this->apiKeyRepository->findOneBy(['name' => 'apikey', 'enabled' => true]);

        if (!$validApiKey || $validApiKey->getApiKey() !== $apiToken) {
            throw new AuthenticationException('Invalid API Token');
        }

        // 返回一个SelfValidatingPassport，因为它不需要额外的用户提供者来加载用户
        // 如果你的API Key与特定用户关联，则可以使用UserBadge加载用户
        return new SelfValidatingPassport(new UserBadge('api_user')); // 'api_user' 是一个占位符
    }

    /**
     * 认证成功时调用。
     */
    public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewallName): ?Response
    {
        // 认证成功，继续处理请求
        return null;
    }

    /**
     * 认证失败时调用。
     * 在此方法中返回一个包含错误信息的JSON响应。
     */
    public function onAuthenticationFailure(Request $request, AuthenticationException $exception): ?Response
    {
        $data = [
            'message' => strtr($exception->getMessageKey(), $exception->getMessageData())
        ];

        return new JsonResponse($data, Response::HTTP_UNAUTHORIZED);
    }
}

# config/packages/security.yaml
security:
    # ...
    firewalls:
        dev:
            pattern: ^/(_(profiler|wdt)|css|images|js)/
            security: false
        api:
            pattern: ^/api # 匹配所有以/api开头的路由
            stateless: true # 对于API，通常是无状态的
            provider: app_user_provider # 可以是任意用户提供者，即使是空的也需要
            custom_authenticators:
                - App\Security\ApiKeyAuthenticator # 引用你的认证器服务

    # 如果你没有实际的用户实体，可以定义一个内存用户提供者
    providers:
        app_user_provider:
            memory:
                users:
                    api_user:
                        password: ~ # 不需要密码
                        roles: ['ROLE_API'] # 分配一个角色

    access_control:
        - { path: ^/api, roles: IS_AUTHENTICATED_FULLY } # 确保/api路径需要完全认证