Symfony中SSO用户认证异常：认证成功后控制器无法获取用户

问题现象 #

已获取有效的SSO响应，认证器onAuthenticationSuccess方法执行通过且能看到Token中的用户，但控制器中获取用户返回null，调试工具栏显示未认证。

配置与代码 #

security.yaml #

security:    
    providers:
        app_admin_provider:
            entity:
                class: App\Entity\Admin
                property: username
    firewalls:
        saml_login:
            pattern: /general/saml/
            security: true
            lazy: true
            provider: app_admin_provider
            custom_authenticators:
                - App\Security\SamlAuthenticator

SamlAuthenticator.php #

class SamlAuthenticator extends AbstractLoginFormAuthenticator
{
    use TargetPathTrait;

    public const LOGIN_ROUTE = 'app_login';

    public function __construct(private EntityManagerInterface $entityManager) {}

    public function supports(Request $request): bool
    {
        if ($request->request->get('SAMLResponse')) {
            return true;
        }
        return false;
    }

    public function authenticate(Request $request): Passport
    {
        $dataSSO = $this->getSSOReponse($request);

        $request->getSession()->set(Security::LAST_USERNAME, $dataSSO['email']);

        return new SelfValidatingPassport(new UserBadge($dataSSO['email'], function($username) {
            $admin = $this->entityManager->getRepository(Admin::class)->findOneBy(['username' => $username]);

            if (! $admin) {
                throw new UserNotFoundException();
            }

            return $admin;
        }));
    }

    public function onAuthenticationSuccess(Request $request,TokenInterface $token,string $firewallName): Response|null
    {
        return null;
    }
}

可能的原因与解决方法 #

1. 防火墙覆盖范围不足 #

你的saml_login防火墙仅匹配/general/saml/路径，认证成功后跳转的页面大概率不在这个路径下，导致后续请求匹配到其他防火墙（比如默认的main防火墙），而这些防火墙没有加载已认证的用户。

解决：
调整防火墙配置，确保需要认证的路径能匹配到包含SAML认证器的防火墙，比如将认证器添加到全局覆盖的main防火墙中：

security:
    # ... 其他配置
    firewalls:
        main:
            pattern: ^/
            security: true
            lazy: true
            provider: app_admin_provider
            custom_authenticators:
                - App\Security\SamlAuthenticator
            # 可添加logout等其他配置
        saml_login:
            pattern: /general/saml/
            security: true
            provider: app_admin_provider
            custom_authenticators:
                - App\Security\SamlAuthenticator

2. onAuthenticationSuccess返回null的逻辑问题 #

当onAuthenticationSuccess返回null时，Symfony会继续执行当前请求，但如果当前请求路径不在认证防火墙覆盖范围内，会话中的认证信息可能无法被后续请求识别。

解决：
在onAuthenticationSuccess中主动跳转到需要认证的路由，确保后续请求匹配正确的防火墙：

use Symfony\Component\Routing\Generator\UrlGeneratorInterface;

// 注入UrlGeneratorInterface
public function __construct(
    private EntityManagerInterface $entityManager,
    private UrlGeneratorInterface $urlGenerator
) {}

public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewallName): ?Response
{
    // 获取之前的目标路径，无则跳转到后台首页
    $targetPath = $this->getTargetPath($request->getSession(), $firewallName);
    $targetPath = $targetPath ?: $this->urlGenerator->generate('admin_dashboard'); // 替换为你的目标路由

    return new RedirectResponse($targetPath);
}

3. 用户实体未实现正确接口 #

确保App\Entity\Admin实现Symfony\Component\Security\Core\User\UserInterface（Symfony 5.4+需实现getUserIdentifier()方法），否则Symfony无法正确序列化用户到会话中。

示例Admin实体：

use Symfony\Component\Security\Core\User\UserInterface;

class Admin implements UserInterface
{
    // 实现UserInterface要求的所有方法：getRoles(), getPassword(), getSalt(), eraseCredentials(), getUserIdentifier()
}

4. 会话隔离问题 #

若应用存在多个防火墙，需确保会话共享，避免不同防火墙使用独立会话导致认证状态无法互通。

检查会话配置：

security:
    # ...
    session:
        handler_id: null
        cookie_secure: auto
        cookie_samesite: lax

5. 认证器继承类适配问题 #

AbstractLoginFormAuthenticator专为传统表单登录设计，SSO回调场景更适合使用AbstractAuthenticator，避免继承类的冗余逻辑干扰。

修改继承类：

use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;

class SamlAuthenticator extends AbstractAuthenticator
{
    // 保留原有supports、authenticate等方法逻辑，仅调整继承类
    // 需额外实现onAuthenticationFailure方法
    public function onAuthenticationFailure(Request $request, AuthenticationException $exception): ?Response
    {
        // 处理认证失败逻辑，比如跳转错误页
        return new RedirectResponse($this->urlGenerator->generate('login_error'));
    }
}

调试建议 #

• 开启调试日志：在.env中设置APP_DEBUG=1和LOG_LEVEL=debug，查看var/log/dev.log中的安全模块日志，追踪会话存储与认证流程。
• 打印会话内容：在控制器中输出会话信息，确认认证Token是否存在：

public function index(Request $request)
{
    dump($request->getSession()->all());
    dump($this->getUser());
}

内容的提问来源于stack exchange，提问作者user26918012