CakePHP嵌套路由前缀配置异常：API认证范围控制失效

问题 #

在CakePHP项目中，原本通过路由前缀Api为所有/api路径下的控制器应用OAuth2认证。现在希望仅对App\Controller\Api\Input命名空间下的控制器启用该认证，配置嵌套路由前缀后出现异常：访问http://localhost/api/input/questionnaires/update时，prefix参数仍为Api，controller被识别为Input，action是questionnaires，update在pass数组中，不符合预期。

现有路由配置：

$routes->prefix('Api', function (RouteBuilder $routes) use ($apiCache) {
    $routes->registerMiddleware('apiCache', $apiCache);
    $routes->applyMiddleware('apiCache');

    $routes->prefix('Input', function (RouteBuilder $routes) use ($apiCache) {
        $routes->connect('/{controller}');  // 不确定是否需要该行

        $routes->connect('/', ['plugin' => 'OAuth2', 'controller' => 'OAuth', 'action' => 'oauth']);
        $routes->connect('/token', ['plugin' => 'OAuth2', 'controller' => 'OAuth', 'action' => 'accessToken', '_ext' => 'json']);
        $routes->connect('/o_auth2/{controller}', ['plugin' => 'OAuth2', '_ext' => 'json']);
    });

    $routes->fallbacks(DashedRoute::class);
});

getAuthenticationService方法修改：

public function getAuthenticationService(ServerRequestInterface $request): AuthenticationServiceInterface
{
    $service = new AuthenticationService();

    if (!str_contains($request->getParam('prefix'), 'Api')) {
        // 无关的用户认证逻辑
    } else {
        if ($request->getParam('prefix') === 'Api/Input') {  // 不确定正确前缀格式
            // 配置OAuth2 API认证
        }
    }
    return $service;
}

需要解决如何正确配置嵌套路由前缀，实现仅/api/input路径下的控制器应用OAuth2认证。

解决方案 #

1. 修正嵌套前缀的路由配置 #

嵌套前缀需要明确指定命名空间，并调整路由规则避免冲突，修改后的路由代码如下：

$routes->prefix('Api', function (RouteBuilder $routes) use ($apiCache) {
    $routes->registerMiddleware('apiCache', $apiCache);
    $routes->applyMiddleware('apiCache');

    // 配置Input嵌套前缀，绑定目标命名空间
    $routes->prefix('Input', function (RouteBuilder $routes) {
        // 指定该前缀下控制器的命名空间
        $routes->setNamespace('App\Controller\Api\Input');
        
        // 自动解析input路径下的控制器/动作
        $routes->fallbacks(DashedRoute::class);
        
        // 保留OAuth2相关路由
        $routes->connect('/', ['plugin' => 'OAuth2', 'controller' => 'OAuth', 'action' => 'oauth']);
        $routes->connect('/token', ['plugin' => 'OAuth2', 'controller' => 'OAuth', 'action' => 'accessToken', '_ext' => 'json']);
        $routes->connect('/o_auth2/{controller}', ['plugin' => 'OAuth2', '_ext' => 'json']);
    });

    // 处理Api前缀下非Input路径的路由
    $routes->fallbacks(DashedRoute::class);
});

• 新增setNamespace确保路由正确映射到App\Controller\Api\Input下的控制器
• 在Input前缀内部添加fallbacks，让框架自动解析/api/input/{controller}/{action}格式的路径，替代原有的/controller连接规则

2. 调整前缀参数的判断逻辑 #

CakePHP中嵌套前缀会以数组形式存储在prefix参数中，而非字符串拼接，修改认证方法的判断逻辑：

public function getAuthenticationService(ServerRequestInterface $request): AuthenticationServiceInterface
{
    $service = new AuthenticationService();
    $prefix = $request->getParam('prefix');

    // 非API路径走原有认证逻辑
    if (!is_array($prefix) || !in_array('Api', $prefix)) {
        // 无关的用户认证逻辑
    } else {
        // 检查是否包含Input前缀
        if (in_array('Input', $prefix)) {
            // 配置OAuth2认证，示例：加载对应适配器
            $service->loadAuthenticator('OAuth2.OAuth');
            $service->loadIdentifier('OAuth2.OAuth');
        }
    }

    return $service;
}

• 访问/api/input/xxx时，$prefix的值为['Api', 'Input']，通过数组判断确认路径归属

3. 验证路由解析结果 #

修改后访问http://localhost/api/input/questionnaires/update，参数会恢复预期：

• prefix为['Api', 'Input']
• controller为Questionnaires
• action为update
• pass数组为空

内容的提问来源于stack exchange，提问作者mrodo