symfony 6.4 生产环境中静态文件需分层防护：web 服务器层禁止直接访问敏感路径（如 /storage/private/），symfony 层通过受控控制器（如 binaryfileresponse）按权限代理输出，禁用目录索引并禁止脚本执行。
在 Symfony 6.4 生产环境中，静态文件（如 CSS、JS、图片、PDF、下载资源等）默认不经过 PHP 和安全组件处理，直接由 Web 服务器（Nginx/Apache）响应。这意味着 即使你配置了严格的 firewall 和 access_control，静态路由或文件仍可能被未授权用户直接访问。要真正保护这些资源，不能只靠 Symfony 路由或控制器拦截，而需分层设防：Web 服务器层 + Symfony 应用层协同控制。
Web 服务器层：禁止直接访问敏感静态路径
这是第一道也是最关键的防线。所有不应公开的静态资源（如 /uploads/private/、/storage/reports/、/pdfs/internal/）必须在 Nginx 或 Apache 配置中显式拒绝外部请求。
-
Nginx 示例（放在 server 块内）：
location ^~ /storage/private/ {
deny all;
return 403;
} -
Apache 示例（放在 .htaccess 或虚拟主机中）：
Require all denied
- 切勿依赖
public/目录下的隐藏文件（如.htaccess）来保护整个子目录——Nginx 不读它，且生产环境应禁用 .htaccess 解析。
Symfony 层：用控制器代理受保护静态资源
当需要按用户权限动态提供静态文件（例如：仅管理员可下载某份合同 PDF），应避免将文件放在 public/ 下直接暴露路径，而是通过控制器读取并响应：
- 把真实文件存放在
var/storage/或var/uploads/等非 Web 可访问目录； - 定义一个受保护路由（如
/download/contract/{id}），用#[IsGranted('CAN_DOWNLOAD_CONTRACT')]或自定义 Voter 控制访问； - 控制器中使用
BinaryFileResponse安全输出：
$file = $this->getStoragePath().'/contracts/'.$contract->getId().'.pdf';
return new BinaryFileResponse($file)
->setFileName($contract->getTitle().'.pdf')
->setContentDisposition(ResponseHeaderBag::DISPOSITION_ATTACHMENT); - 注意设置
Cache-Control: private，防止 CDN 或代理缓存敏感内容。
对 public/ 下有限静态资源做细粒度访问控制
某些场景下，部分静态资源需保留在 public/（如前端构建产物中的 assets/），但又需限制访问来源或条件。这时可借助 Symfony 的 access_control 配合路由前缀实现逻辑拦截：
- 在
config/packages/security.yaml中添加规则：
access_control:
- { path: ^/protected-assets/, roles: ROLE_USER } - 同时在
config/routes.yaml中为该路径定义一个空路由，强制走 Symfony 流程：
protected_assets:
path: /protected-assets/{filename}
controller: Symfony\Bundle\FrameworkBundle\Controller\TemplatesController::templateAction
defaults: { template: 'assets/empty.html.twig' } # 实际由事件监听器或响应修改 - 更可靠的做法是：用
kernel.request事件监听器检查请求路径匹配/protected-assets/，若未认证则抛出AccessDeniedHttpException，确保不绕过安全层。
额外加固建议
静态文件保护不是“开个开关”就能完成的事，还需配合以下实践：
- 禁用目录索引：Nginx 加
autoindex off;，Apache 加Options -Indexes； - 禁止执行脚本：对
public/uploads/类目录，Nginx 中加location ~ \.(php|pl|py|jsp|asp|sh|cgi)$ { deny all; }； - 敏感文件统一存放、统一权限：Linux 上设
chown www-data:www-data var/storage/private && chmod 700 var/storage/private； - 日志审计：记录对受保护路径的 403/404 请求，便于发现探测行为。
