symfony路由默认不限制http方法，必须显式声明methods才能触发405响应；未声明时所有方法均匹配路由并进入控制器，易导致安全漏洞或404误判；router:match可精准验证匹配结果。
路由定义里不写 methods 就等于不限制
Symfony 路由默认对 HTTP 方法完全放行，哪怕控制器只写了 if ($request->isMethod('GET'))，POST 请求依然能匹配进路由、走到控制器里——这不是“支持”，是漏防。真要限制方法，必须在路由层显式声明 methods，否则所有方法都算合法匹配。
常见错误现象：用 POST 访问一个只该 GET 的接口，结果返回 405（Method Not Allowed）而不是预期的逻辑错误；或者更糟——返回 404，说明压根没匹配到路由，可能是因为你忘了加 methods，又恰好有其他同路径但方法不同的路由干扰了匹配顺序。
- 注解写法：
@Route("/api/users", methods={"GET"})或@Route("/api/posts", methods={"POST", "PUT"}) - YAML 写法：
methods: [GET]或methods: [POST, PUT] - PHP 数组写法：
'methods' => ['GET']
一旦声明，不匹配的方法会直接被路由器拦截，返回 405 状态码，并自动带上 Allow 响应头（如 Allow: GET, HEAD），前端可据此判断可用操作，不用再靠文档猜。
router:match 能帮你确认方法是否真的被拒绝
光看代码容易误判。比如你以为 @Route("/foo", methods={"GET"}) 已生效，但实际运行时却收到 404——这时很可能是路由根本没加载，或者环境缓存未更新。用 router:match 命令模拟请求，才能看到真实决策过程。
执行：php bin/console router:match /foo --method=POST
输出可能为：
-
No route found for "POST /foo"→ 说明没定义任何匹配该路径+方法的路由（404） -
Method not allowed for "POST /foo"→ 说明路由存在，但methods不含 POST（405） -
Route "app_foo" matches→ 匹配成功，继续查控制器逻辑
注意：router:match 在 Symfony 2 中依赖 SensioFrameworkExtraBundle，若命令不存在，先确认该 bundle 是否启用并兼容当前版本。
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
别让 Web 服务器偷偷吃掉非标准方法
即使路由和控制器都写对了，Nginx 或 Apache 仍可能在入口层就拦下 PUT、DELETE 等方法，导致请求根本没进 Symfony，直接 404。这不是 Symfony 的错，是服务器配置问题。
Nginx 常见陷阱：
- 用了
location ~ \.php$但没覆盖PUT请求，导致非 GET/HEAD 的请求被 fallback 到静态文件处理逻辑 -
fastcgi_pass后缺少fastcgi_param REQUEST_METHOD $request_method;，PHP-CGI 收不到正确 method
Apache 常见陷阱：
- .htaccess 中
RewriteCond %{REQUEST_FILENAME} -s等条件误判，把带 body 的 POST/PUT 当作静态文件请求 - 未启用
mod_rewrite或mod_headers，无法透传原始 method
验证方式：用 curl -X PUT -I http://localhost/foo 查看响应头里的 Status，如果是 405 Not Allowed 或 404 Not Found 且没有 Symfony 的 X-Debug-Token，大概率是 Web 服务器截胡了。
API 场景下 405 响应体必须是 JSON
当客户端发来 Accept: application/json 却收到 HTML 格式的 405 页面，前端解析就会失败。Symfony 默认返回的是模板化的错误页，需手动接管异常响应逻辑。
关键点：
- 监听
kernel.exception事件，捕获MethodNotAllowedHttpException - 检查
$request->getAcceptableContentTypes()是否包含application/json - 手动构造 JSON 响应：
new JsonResponse(['error' => 'method_not_allowed'], 405) - 千万别在控制器里
try/catch后返回new Response('', 405)——这会绕过异常处理器，输出空 HTML
这个细节常被忽略：405 是标准 HTTP 状态码，但它的语义只有在响应体格式与请求头一致时才真正成立。对 API 来说，HTML 405 和没返回没区别。
