symfony授权是分层体系，由角色、access_control、voter和安全表达式组成：先验角色，再判细粒度条件，最后决策器综合判断。
Symfony授权不是靠“开关式”配置，而是由角色（Role）、访问控制规则（access_control）、投票器（Voter）和安全表达式共同组成的分层体系。核心逻辑是：先看用户有没有对应角色，再看是否满足更细粒度的条件，最后由决策器综合判断。
基础角色与访问控制
这是最常用、上手最快的授权方式，适合按模块划分权限的场景：
- 在 config/packages/security.yaml 中定义角色和路径规则：
security:
access_control:
- { path: ^/admin, roles: ROLE_ADMIN }
- { path: ^/profile, roles: ROLE_USER }
- { path: ^/login, roles: IS_AUTHENTICATED_ANONYMOUSLY }
- 确保 User 实体的 getRoles() 方法返回字符串数组，且每个角色以 ROLE_ 开头（如
['ROLE_USER', 'ROLE_EDITOR']） - 角色可继承：用
role_hierarchy配置，例如ROLE_ADMIN: ROLE_USER，让管理员自动拥有普通用户权限
细粒度控制：用 Voter 判断对象级权限
当需要“只允许文章作者编辑自己的文章”这类逻辑时，Voter 是标准解法：
- Voter 类必须声明为服务，并打上 security.voter 标签
-
supports() 只做轻量匹配（比如
$attribute === 'EDIT' && $subject instanceof Post），不放业务逻辑 - 真正判断写在 voteOnAttribute() 里，注意先检查
$token->getUser() instanceof UserInterface，避免匿名用户报错 - 控制器中调用：
@IsGranted("EDIT", subject="post")，确保post参数被方法接收并传入
动态规则：用安全表达式语言
适合在配置或注解中嵌入运行时条件，无需写 PHP 类：
- 在
access_control中使用allow_if：
- { path: ^/profile/\d+, allow_if: "is_authenticated() and user.getId() == request.attributes.get('id')" }
- 在控制器方法上用表达式注解：
#[IsGranted("expr: is_granted('ROLE_EDITOR') or (is_granted('ROLE_AUTHOR') and user == post.getAuthor())")]
- 表达式内可用
user、request、token等变量，支持完整 PHP 逻辑运算
调试与验证要点
授权失效时，别急着改逻辑，先确认基础设施是否就位：
- 运行
php bin/console debug:security --user=admin "EDIT" "App\Entity\Post"查看 Voter 是否被调用、各环节返回值 - 打开 Web Profiler 的 Security 面板，点开 “Voters”，观察每次请求中每个 Voter 的
supports和voteOnAttribute执行结果 - 检查防火墙配置中的
access_control是否用了IS_AUTHENTICATED_REMEMBERED或更高权限级别——若只写ROLE_USER，Voter 不会触发 - 用
dump($this->getUser())和dump($this->isGranted('ROLE_ADMIN'))对比验证，不依赖“应该有”的假设
