最标准、最安全的方式是直接使用jsonresponse类，它自动设置content-type、utf-8编码并安全处理null等值；避免手写json_encode()+response或传入未处理的doctrine实体。
在 Symfony 7.2 中，控制器返回 JSON 数据最标准、最安全的方式是直接使用 JsonResponse 类。它不是“手写 json_encode() + Response”，而是框架内置的专用响应类，自动处理编码、头信息和边缘值，避免常见陷阱。
用 JsonResponse 快速返回数组或标量
这是最常用场景：你有一组数据（如用户列表、表单验证结果），想以 JSON 格式返回给前端。
- 在控制器中引入：
use Symfony\Component\HttpFoundation\JsonResponse; - 直接传入 PHP 数组、字符串、数字或布尔值：
return new JsonResponse(['status' => 'ok', 'data' => $users]); - 指定 HTTP 状态码只需第二个参数：
new JsonResponse(['error' => 'not found'], 404) - 它自动设置
Content-Type: application/json; charset=utf-8，无需手动设头
处理表单提交后的 JSON 响应
表单不是用来序列化的对象，而是数据管道。关键在获取验证通过后的干净数据。
- 先调用
$form->isSubmitted() && $form->isValid() - 再用
$form->getData()拿到实体或关联数组 - 不要把整个
$form对象塞进JsonResponse——会报错或输出无意义内容 - 若绑定的是实体，推荐转成 DTO 或调用
toArray()方法后再返回，避免循环引用或懒加载问题
返回 Doctrine 实体时的安全做法
直接传 User $user 给 JsonResponse 很危险：可能触发 N+1 查询、暴露敏感字段、或因双向关系崩溃。
- 最简方案：在实体里加一个
public function toArray(): array，只返回需要的字段 - 推荐方案：用 DTO（如
UserOutputDto）手动投影，完全解耦 API 输出结构 - 若必须用 Serializer，确保已启用并配置好组（如
@Groups({"api:read"})），并在控制器中显式调用：$this->json($user, 200, [], ['groups' => 'api:read'])
统一异常响应与状态码语义
别在每个控制器里写 try-catch 返回 JSON 错误。Symfony 提供了更健壮的方式：
- 监听
kernel.exception事件，在异常处理器中判断请求是否为 API（检查Accept: application/json或X-Requested-With: XMLHttpRequest） - 对
ValidationException返回 400，AccessDeniedException返回 403，找不到资源返回 404 - 错误结构保持一致，例如：
['code' => 'validation_failed', 'message' => '请检查输入', 'details' => [...]] - 确保所有 JSON 响应都包裹在对象中（如
{"data": [...]}），不返回裸数组[]，兼容性更好
