symfony 7 安全防火墙需角色、路径、认证方式联动配置，access_control 从上到下匹配且首个命中即终止，roles 必须为数组，form_login 与 json_login 需分属不同防火墙，role_user 需手动赋值，csrf token 失效多因 intention 不一致或 session 未启用。
Symfony 7 的安全防火墙不是“开了就能用”的开关，而是必须按角色、路径、认证方式三者联动配置的访问控制网。配错一个参数，比如 access_control 顺序写反、roles 写成字符串而非数组、或 firewall 下漏掉 form_login，用户就会被无限重定向到登录页，甚至 403 静默拒绝而无提示。
access_control 规则为什么总不生效？
这是最常踩的坑：规则匹配是**从上到下第一个命中即终止**，不是“全部检查”。比如你把兜底规则 path: ^/ 放在最前面，后面所有更具体的路径（如 ^/admin）就永远进不去。
- 必须把更精确的路径写在前面，例如先写
path: ^/admin，再写path: ^/api，最后才是path: ^/ -
roles值必须是数组，哪怕只有一个角色：roles: ['ROLE_ADMIN']，写成roles: 'ROLE_ADMIN'会导致整条规则被忽略 -
match_path（Symfony 6.4+ 推荐）比path更可靠，它基于实际请求路径匹配，不受路由别名影响；旧写法path在某些动态路由场景下会误判 - 调试技巧：运行
php bin/console debug:security，它会列出当前请求匹配到哪条access_control规则，以及最终决策结果
form_login 和 json_login 能共存吗？
能，但必须分属不同防火墙，不能塞进同一个 firewall 块里——Symfony 7 的 Authenticator Manager 不允许混合认证方式共存于单个防火墙。
- 典型做法是定义两个防火墙：
main（带form_login，用于网页登录）和api（带json_login，用于 API 请求） - 两者需明确区分入口路径，例如
main匹配^/login和^/，api匹配^/api；否则请求会随机落入某个防火墙，造成认证失败 -
json_login默认只接受application/json请求体，若前端发的是x-www-form-urlencoded，会直接返回 400，需手动在json_login下加username_path: 'email'和password_path: 'password'显式指定字段名
ROLE_USER 怎么自动赋给新注册用户？
Symfony 不会自动给用户分配任何角色，ROLE_USER 必须显式写入数据库或在 User 实体中硬编码，默认值只存在于文档示例里。
- 在
User实体的构造函数中初始化：$this->roles = ['ROLE_USER'];，注意是数组，且不能为null - 如果使用自定义注册表单，确保提交后调用
$user->setRoles(['ROLE_USER'])，而不是只设username和password - 角色名区分大小写，
role_user或role-user都无效；Doctrine 存储时建议用 JSON 字段（如json类型），避免序列化问题 - 权限继承靠
security.role_hierarchy配置，例如ROLE_ADMIN: [ROLE_USER]，但父角色仍需手动赋予用户，继承关系仅用于访问判断
CSRF token 为什么总报 invalid？
不是 token 生成错了，而是验证环节没对上——常见于表单未启用 CSRF、或模板里漏了 {{ csrf_token('authenticate') }}，又或者 session 未启动。
-
form_login默认开启 CSRF 保护，对应 token 名为authenticate；若改了csrf_token_generator或自定义了intention，模板里必须同步改 - 确保
framework.session已启用，且session.handler_id指向有效存储（如session.handler.native_file或 Redis）；无 session 就无法验证 token - 开发环境用
APP_ENV=dev时，WebProfiler 会显示 CSRF token 生命周期，可对照检查是否过期或重复提交 - API 场景下禁用 CSRF 是合理选择：
json_login: { csrf_parameter: false }，但务必确认该接口不涉及敏感操作
真正卡住人的往往不是语法错误，而是角色赋值时机、防火墙路径隔离粒度、以及 CSRF token 的 intention 名称与表单上下文是否严格一致——这些地方一错，整个访问控制链就断在看不见的地方。
