symfony防火墙配置核心是分层设计：先通过pattern定义作用范围，再指定表单、api令牌等认证方式，最后用access_control精确控制资源访问；需注意路径匹配规则、角色继承需显式声明、api应使用stateless防火墙并前置定义。

Symfony防火墙配置的核心是明确“谁在什么路径上、用什么方式认证、能访问哪些资源”。它不是一次性全局开关，而是按需分层设计：先定义防火墙作用范围（pattern），再指定认证方式（如表单、API令牌），最后用 access_control 精确放行或拦截请求。

基础防火墙结构：从 main 开始

绝大多数应用以一个名为 main 的防火墙起步，覆盖全站或大部分路径：

• pattern: ^/ 表示匹配所有以 / 开头的 URL（正则语法，推荐始终用 ^ 显式开头）
• anonymous: true 允许未登录用户访问——这是让登录页、首页等公开资源可被打开的前提
• form_login 启用表单认证，必须配 login_path（显示登录表单的路由）和 check_path（提交表单的目标路由）
• logout 配置登出路径和跳转目标，invalidate_session: true（默认）确保登出时销毁会话

多角色访问控制：靠 access_control 逐条匹配

这个区块独立于防火墙定义，但由防火墙触发执行。它的规则严格按顺序检查，命中即停：

Symfony Linux版

Symfony Linux版整理 Symfony CLI 5.17.1 官方下载入口和 Symfony 框架安装配置说明。

下载

• 写成 path: ^/admin 才匹配 /admin、/admin/users；写成 /admin/ 可能不生效（尤其 Symfony 5.4+ 默认启用正则）
• 角色之间无自动继承。若想让 ROLE_ADMIN 自动拥有 ROLE_USER 权限，必须在 role_hierarchy 中明确定义：ROLE_ADMIN: [ROLE_USER]
• 允许多个角色访问同一路径？直接写 roles: [ROLE_USER, ROLE_ADMIN] 更清晰，避免依赖继承逻辑
• 登录页本身必须放行：- { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }，否则用户连登录框都打不开

区分前后端：API 要用 stateless 防火墙

前端页面走 session，API 接口不该依赖会话。为 /api 单独配一个防火墙，关键点是 stateless: true：

• 禁用 session 创建与读取，避免 CSRF、会话固定等干扰
• 搭配 json_login 或 jwt 认证器，只校验请求体或 Header 中的凭证
• 务必把该防火墙的 pattern 写在 main 之前（如 pattern: ^/api），否则请求可能被 main 防火墙提前捕获并要求登录跳转
• access_control 中对应 API 路径的规则也应单独列出，例如：- { path: ^/api/.*, roles: IS_AUTHENTICATED_FULLY }

多个用户类型：用多个防火墙 + 不同 provider

当客户、管理员、治疗师等使用不同实体类和登录入口时，不要塞进一个防火墙——而是为每类用户设独立防火墙：

• 每个防火墙配专属 pattern（如 ^/customer、^/admin）
• 各用一个 provider（如 shop_customer_provider、admin_provider），指向对应实体和查询逻辑
• 登录路径、登出路径、目标页面全部隔离，互不干扰
• 注意：所有防火墙共用同一套 access_control 规则，所以路径前缀要足够区分，避免规则错位