symfony 默认 json 登录使用基于 session 的认证机制（通过 cookie 维持状态），而非无状态 token；若构建真正 restful api，应主动切换为自定义 token 认证器，避免依赖客户端会话存储能力。
symfony 默认 json 登录使用基于 session 的认证机制（通过 cookie 维持状态），而非无状态 token；若构建真正 restful api，应主动切换为自定义 token 认证器，避免依赖客户端会话存储能力。
在 Symfony 中实现 JSON 登录时，初学者常误以为“返回 JSON 就等于无状态 Token 认证”，但事实是：官方 JSON 登录示例默认启用的是 Session-based 认证——即服务器生成并维护一个 PHPSESSID Cookie，前端需在后续请求中自动携带该 Cookie（浏览器默认行为），Symfony 才能识别用户身份。这从 denyAccessUnlessGranted('IS_AUTHENTICATED_FULLY') 能持续生效即可验证。
这种设计对传统 Web 应用合理，但对纯 REST API（如移动端、第三方调用、跨域单页应用）存在明显缺陷：
- ❌ 无法可靠管理 Cookie（尤其移动端或非浏览器环境）
- ❌ 违反 REST 无状态（stateless）原则
- ❌ 横向扩展时需 Session 共享（如 Redis 存储），增加架构复杂度
✅ 正确做法是采用 Token-based 认证：登录成功后返回一个短期有效的、不可预测的令牌（如 UUID），客户端在后续请求的 Authorization 或自定义 Header（如 X-AUTH-TOKEN）中携带，服务端解析并校验，全程不依赖服务端 Session。
以下是实现 Token 认证的核心步骤：
DMap GL地图JSAPI（dmapgl）开发指南。用于编写、审查、调试 DMap 地图 API 代码，涵盖地图初始化、覆盖物渲染、图层管理、事件处理、控件交互等任务。当用户提及 dmap、dmapgl、jsapi‑gl 或相关地图开发需求时自动触发。
1. 创建自定义认证器（Symfony 6.2+ 推荐方式）
// src/Security/ApiKeyAuthenticator.php
namespace App\Security;
use Symfony\Component\HttpFoundation\JsonResponse;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Core\Exception\CustomUserMessageAuthenticationException;
use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Passport;
use Symfony\Component\Security\Http\Authenticator\Passport\SelfValidatingPassport;
class ApiKeyAuthenticator extends AbstractAuthenticator
{
public function supports(Request $request): ?bool
{
return $request->headers->has('X-AUTH-TOKEN');
}
public function authenticate(Request $request): Passport
{
$token = $request->headers->get('X-AUTH-TOKEN');
if (empty($token)) {
throw new CustomUserMessageAuthenticationException('Missing X-AUTH-TOKEN header');
}
// 关键：此处应查询数据库验证 token 是否有效、未过期、归属合法用户
// 示例伪逻辑：$user = $this->tokenRepository->findValidUserByToken($token);
// 若验证失败，抛出 AuthenticationException 触发 onAuthenticationFailure
return new SelfValidatingPassport(new UserBadge($token));
}
public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewallName): ?Response
{
return null; // 允许请求继续
}
public function onAuthenticationFailure(Request $request, AuthenticationException $exception): ?Response
{
return new JsonResponse([
'error' => 'Invalid or expired authentication token'
], Response::HTTP_UNAUTHORIZED);
}
}
⚠️ 注意：
UserBadge($token)仅作占位；真实项目中，你应在authenticate()内完成完整校验（如查库、验签名、检查有效期），并返回含用户实体的Passport（例如配合PasswordCredentials或自定义Badge）。可参考 Symfony 官方自定义认证文档 补充UserProvider集成。
2. 在安全配置中启用该认证器
# config/packages/security.yaml
security:
enable_authenticator_manager: true # 确保启用新式认证管理器
firewalls:
api:
pattern: ^/api
security: true
stateless: true # ? 强制无状态（禁用 Session）
custom_authenticators:
- App\Security\ApiKeyAuthenticator
# 不再配置 json_login 或 form_login
3. 登录接口：颁发 Token（示例控制器）
// src/Controller/Api/LoginController.php
#[Route('/api/login', methods: ['POST'])]
public function login(Request $request, UserRepository $userRepository, TokenStorageInterface $tokenStorage): JsonResponse
{
$data = json_decode($request->getContent(), true);
$email = $data['email'] ?? '';
$password = $data['password'] ?? '';
$user = $userRepository->findOneBy(['email' => $email]);
if (!$user || !password_verify($password, $user->getPassword())) {
return new JsonResponse(['error' => 'Invalid credentials'], Response::HTTP_UNAUTHORIZED);
}
// 生成安全 Token（推荐使用 ramsey/uuid 或 bin2hex(random_bytes(32))）
$token = Uuid::uuid4()->toString();
// 持久化 Token（含 user_id、expires_at、is_revoked 等字段）
$this->tokenRepository->createForUser($user, $token);
return new JsonResponse(['token' => $token], Response::HTTP_OK);
}
✅ 最佳实践总结
-
永远不要用 UID、邮箱或明文密码作为 Token —— 必须是加密安全的随机字符串（UUID v4 或
random_bytes(32)） -
Token 必须有时效性与可撤销性 —— 数据库存储
expires_at和revoked_at字段 -
始终启用
stateless: true—— 确保 Symfony 不启动 Session，避免隐式状态残留 -
前端必须显式传递 Token —— 如
fetch('/api/profile', { headers: { 'X-AUTH-TOKEN': token } }) - 敏感操作建议叠加 CSRF（如修改密码） —— 即便无状态，仍需防范跨站请求伪造
通过以上改造，你的 Symfony API 将真正符合 REST 架构约束，具备良好的可扩展性、跨平台兼容性与安全性。
