Symfony Bundle配置疑问：security.yaml应保留全量还是差异配置？

场景说明 #

我开发了一个包含登录/登出及用户CRUD功能的Symfony简易后台系统，打算封装为可复用Bundle。目前已实现Bundle独立运行，通过以下代码导入依赖配置：

public function prependExtension(ContainerConfigurator $containerConfigurator, ContainerBuilder $containerBuilder): void
{
    // prepend config from a file
    $containerConfigurator->import('../config/packages/pagerfanta.yaml');
    $containerConfigurator->import('../config/packages/security.yaml');
    $containerConfigurator->import('../config/packages/stof_doctrine_extensions.yaml');
    $containerConfigurator->import('../config/packages/twig.yaml');
}

但Bundle内的security.yaml与Symfony主项目默认的security.yaml存在大量重复，想明确：Bundle的security.yaml应保留全量重复配置，还是仅保留与主项目默认配置不同的部分？考虑到用户可能删除或修改主项目的security.yaml，需保留哪些配置才能确保Bundle正常运行？

核心结论 #

绝不要保留全量重复配置，Symfony的配置系统会自动合并Bundle与主项目的配置，重复的默认配置只会增加维护负担，还可能引发不必要的冲突。你只需要保留Bundle功能必需且主项目默认没有/必须覆盖的配置项。

必须保留的配置项（按优先级） #

1. 角色层级配置 #

这是Bundle后台权限体系的基础，主项目默认无此配置，必须保留：

security:
    role_hierarchy:
        ROLE_ADMIN: ['ROLE_MANAGER']
        ROLE_MANAGER: ['ROLE_EMPLOYEE']

2. 自定义用户提供者 #

Bundle依赖实体类作为用户来源，替换了主项目默认的内存提供者，必须保留，否则无法加载用户：

security:
    providers:
        app_user_provider:
            entity:
                class: App\Entity\User
                property: email

3. Firewall核心认证与登出配置 #

这是登录/登出功能的核心，必须覆盖主项目默认的main防火墙配置：

security:
    firewalls:
        main:
            lazy: true
            provider: app_user_provider # 指定用Bundle的用户提供者
            custom_authenticator: App\Security\LoginFormAuthenticator # 自定义登录认证器
            logout: # 登出规则
                path: app_logout
                target: app_login

注意：dev防火墙的配置主项目默认已有，Bundle可以完全删除该节点，避免重复。

4. 测试环境的密码哈希优化 #

测试环境的简化哈希配置主项目可能未定义，保留它能提升Bundle测试的运行效率：

when@test:
    security:
        password_hashers:
            Symfony\Component\Security\Core\User\PasswordAuthenticatedUserInterface:
                algorithm: auto
                cost: 4
                time_cost: 3
                memory_cost: 10

5. 访问控制规则 #

如果Bundle的后台路由需要权限校验，必须保留对应的访问控制规则（示例为后台基础权限控制）：

security:
    access_control:
        - { path: ^/login, roles: PUBLIC_ACCESS }
        - { path: ^/admin, roles: ROLE_EMPLOYEE }

优化后的Bundle security.yaml示例 #

security:
    role_hierarchy:
        ROLE_ADMIN: ['ROLE_MANAGER']
        ROLE_MANAGER: ['ROLE_EMPLOYEE']

    providers:
        app_user_provider:
            entity:
                class: App\Entity\User
                property: email

    firewalls:
        main:
            lazy: true
            provider: app_user_provider
            custom_authenticator: App\Security\LoginFormAuthenticator
            logout:
                path: app_logout
                target: app_login

    access_control:
        - { path: ^/login, roles: PUBLIC_ACCESS }
        - { path: ^/admin, roles: ROLE_EMPLOYEE }

when@test:
    security:
        password_hashers:
            Symfony\Component\Security\Core\User\PasswordAuthenticatedUserInterface:
                algorithm: auto
                cost: 4
                time_cost: 3
                memory_cost: 10

关键注意事项 #

• Symfony配置合并逻辑：通过prependExtension导入的Bundle配置会被主项目的同名配置覆盖，这意味着用户可以自定义修改主项目的security.yaml来调整规则，而Bundle的核心配置仅作为默认兜底。
• 避免硬编码：如果Bundle的用户实体类路径需要支持自定义，可以通过配置参数让用户覆盖，比如%your_bundle.user_class%，提升灵活性。

内容的提问来源于stack exchange，提问作者Marleen