角色继承失效的主因是配置位置错误或角色名格式不合规：role_hierarchy必须位于security.yaml顶层，与firewalls、access_control平级；角色名须全大写且严格匹配role_前缀加下划线格式。
用户角色“看似存在”却无法访问本该继承的资源，通常不是代码写错了，而是角色继承根本没生效——它不报错、不警告，只安静地跳过。
配置位置必须严格在 security.yaml 顶层
role_hierarchy 不是 firewall 的子项，也不是 access_control 的一部分。它和它们平级，直接挂在 security: 下面：
- ✅ 正确写法：security:
role_hierarchy:
ROLE_ADMIN: ROLE_USER - ❌ 错误写法：把 role_hierarchy 塞进 firewalls: { ... } 里，或放在 security: access_control: 下面——Symfony 完全忽略，无日志、无提示
角色名必须全大写 + ROLE_ 前缀
Symfony 对角色名大小写和格式极其敏感。哪怕只是少一个下划线、多一个空格，继承就断了：
- ✅ 合法：ROLE_USER、ROLE_EDITOR、ROLE_API_CLIENT
- ❌ 无效：role_user、RoleUser、user、ROLE-USER、ROLE_USER_（结尾多下划线）
- 调试建议：在控制器中加 dump($this->getUser()->getRoles())，确认输出全是大写+下划线格式；若出现任意一个非法名，整条继承链静默失效
getRoles() 不展开继承，isGranted() 才管继承
这是最常被误解的一点：角色层级不会修改用户对象本身返回的角色列表。
- 用户只配置了 ROLE_ADMIN → $user->getRoles() 永远只返回 ['ROLE_ADMIN']
- 但 isGranted('ROLE_USER') 会返回 true，因为授权检查时自动展开继承链
- 如需获取所有可达角色（含父级），手动调用：
$this->security->getRoleHierarchy()->getReachableRoles($user->getRoles())
access_control 中无需手动补全继承角色
在 security.yaml 的 access_control 规则里，roles: [ROLE_ADMIN] 就够了。
- ✅ 正确：
roles: [ROLE_ADMIN]—— Symfony 自动包含 ROLE_USER 等所有继承角色 - ❌ 多余且易错：
roles: [ROLE_ADMIN, ROLE_USER]—— 不仅冗余，还可能因 ROLE_USER 拼错导致权限意外丢失 - 原理：access_control 的角色匹配底层调用的就是 isGranted() 逻辑，天然支持继承
