本文详解如何通过正则路径匹配精准配置 Symfony 的 security.yaml，使 ROLE_USER 仅能访问根路径 /，而 /example 等所有其他路径默认 require ROLE_ADMIN，避免因路径匹配顺序导致的越权访问。
本文详解如何通过正则路径匹配精准配置 symfony 的 `security.yaml`，使 `role_user` 仅能访问根路径 `/`，而 `/example` 等所有其他路径默认 require `role_admin`，避免因路径匹配顺序导致的越权访问。
在 Symfony 的安全配置中，access_control 规则按自上而下顺序匹配，且仅第一条匹配规则生效。原始配置：
security:
access_control:
- { path: ^/, roles: ROLE_USER }
- { path: ^/*, roles: ROLE_ADMIN }
存在关键问题：^/ 是一个前缀匹配（等价于 ^\/.*），它会匹配 /、/example、/api、/admin 等所有以 / 开头的路径——因此 ROLE_USER 用户可直接访问 /example，后续 ^/* 规则根本不会触发。
✅ 正确做法是精确限定首页路径，使用正则锚点 ^/$（即“以 / 开始且立即结束”）：
security:
access_control:
# 其他规则...
- { path: ^/$, roles: ROLE_USER } # 仅匹配根路径 "/"
- { path: ^/, roles: ROLE_ADMIN } # 匹配所有其他以 "/" 开头的路径（如 "/example", "/api/*", "/admin"）
? 注意：^/ 在第二条规则中是安全的，因为第一条 ^/$ 已精确捕获 /，根据“首条匹配优先”原则，/ 不会落入第二条；而 /example 不满足 ^/$，自然交由 ^/ 处理，要求 ROLE_ADMIN。
✅ 验证效果
| 请求路径 | 匹配规则 | 允许角色 | 是否放行 |
|---|---|---|---|
| / | ^/$ | ROLE_USER | ✅（普通用户可访问） |
| /example | ^/（跳过 ^/$） | ROLE_ADMIN | ❌（ROLE_USER 被拒绝） |
| /api/data | ^/ | ROLE_ADMIN | ❌（未授权） |
⚠️ 重要注意事项
- *不要使用 `^/**：该写法在正则中语义错误（前缺少可重复的原子），实际会被 Symfony 解析为字面量/，无法匹配/example；正确通配应使用^/或更严格的^/[^/]+`。
- 顺序不可颠倒：必须将最具体的规则（^/$）放在更宽泛规则（^/）之前，否则后者会提前拦截全部请求。
-
推荐增强健壮性：若需排除某些公开路径（如 /login, /public），可在 ^/ 规则前显式添加白名单：
- { path: ^/login$, roles: IS_AUTHENTICATED_ANONYMOUSLY } - { path: ^/public/, roles: IS_AUTHENTICATED_ANONYMOUSLY } - { path: ^/$, roles: ROLE_USER } - { path: ^/, roles: ROLE_ADMIN }
此方案简洁、可维护性强，无需为每个新路由手动添加限制，从根本上堵住因路径匹配模糊导致的安全缺口。
