symfony访问控制需安全组件与路由协同：access_control按序匹配路径并校验角色，isgranted注解实现控制器级细粒度权限，route condition在路由层动态过滤请求，三者均依赖防火墙覆盖。
Symfony访问控制不是只靠路由定义就能生效的，它依赖安全组件（Security Component）与路由系统协同工作。核心在于：路由负责“谁能走到哪”，安全配置决定“谁有资格进门”。两者缺一不可，且顺序和位置很关键。
在 security.yaml 中配置 access_control 规则
这是最常用、最直观的访问控制方式。规则按顺序匹配，一旦命中就停止检查，所以要把更具体的路径放在前面。
- 用正则前缀 path 匹配 URL，例如
^/admin表示所有以/admin开头的请求 -
roles 指定所需角色，如
ROLE_ADMIN；也可用特殊表达式，比如IS_AUTHENTICATED_FULLY或IS_AUTHENTICATED_REMEMBERED - 支持按 IP 限制：
ips: ['192.168.1.100']，多个 IP 用数组 - 注意：这些规则只对已定义的路由起作用；如果请求的 URL 根本没对应路由，会直接 404，access_control 不触发——这是常见安全盲区
用 #[IsGranted] 注解做控制器级权限校验
适合细粒度控制，比如某个操作需要特定权限（不只是角色），或需结合参数判断（如“只能编辑自己发布的文章”）。
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 加在控制器方法上，例如
#[IsGranted('ROLE_ADMIN')]或#[IsGranted('EDIT', $post)] - 底层调用
AuthorizationChecker::isGranted()，支持自定义 Voter 扩展逻辑 - 比 access_control 更灵活，但无法阻止请求进入控制器——它是在路由匹配后、方法执行前检查的
- 若用户无权限，自动返回 403，无需手动写 if 判断
在路由定义中嵌入 condition 表达式
适合动态、上下文相关的判断，比如只允许 HTTPS、限定请求方法、或根据主机名分流。
- 使用表达式语言，可访问
context对象，例如：context.getMethod() == "POST"、context.isSecure()、context.getHost() matches "/^api\..+/" - PHP 8+ 推荐用属性语法：
#[Route('/api/data', condition: "context.getMethod() == 'POST' && context.isSecure()")] - 注意：condition 是路由匹配环节的一部分，不通过则视为“路由不存在”，返回 404；它不等同于权限拒绝（403）
确保防火墙（firewall）覆盖目标路径
access_control 和 IsGranted 都依赖防火墙启用。如果请求路径没被任何 firewall 的 pattern 匹配到，整个安全流程就跳过了。
- 检查
security.yaml中 firewall 的pattern是否覆盖你的 API 或后台路径，例如pattern: ^/api - 避免把 stateless: true 和 session-based 防火墙混用在同一路径下
- anonymous: false 可禁用匿名访问，强制认证；但需确保登录入口（如
/login）在 access_control 中明确放行：- { path: ^/login, roles: IS_AUTHENTICATED_ANONYMOUSLY }
实际部署时，建议组合使用：用 access_control 做粗粒度路径隔离，用 #[IsGranted] 处理业务逻辑级权限，再辅以 route condition 控制协议、方法等基础访问条件。别忘了定期验证未定义路径是否真能返回 404 而非泄露信息——这是很多线上系统被绕过的起点。
