Symfony+API Platform集成Mercure实时通知遇401未授权错误

以下是针对你遇到的问题的具体排查步骤和修复建议：

1. 核心问题：EventSource不支持自定义请求头 #

标准EventSource API不允许设置自定义请求头（部分浏览器的非标准实现可能支持，但兼容性极差），你当前代码里的headers: { Authorization: ... }根本不会被发送到Mercure Hub，导致Hub无法验证JWT，返回401。

修复方案：将JWT放在URL查询参数中 #

修改客户端代码，把Authorization令牌作为查询参数传递：

const mercureHubURL = 'http://localhost:8082/.well-known/mercure';
const topicURL = 'http://localhost/api/notifications/65437333e5ddba2e970a2dd2';
const userJwtToken = 'your_jwt_token_here';

// 对topic和令牌进行URL编码，避免特殊字符问题
const encodedTopic = encodeURIComponent(topicURL);
const encodedAuth = encodeURIComponent(`Bearer ${userJwtToken}`);

const eventSource = new EventSource(`${mercureHubURL}?topic=${encodedTopic}&Authorization=${encodedAuth}`);

如果偏好使用Cookie传输JWT（更安全），需要：

• 在Symfony的lexik_jwt_authentication.yaml中配置令牌通过Cookie发送：

  lexik_jwt_authentication:
      token_extractors:
          cookie:
              enabled: true
              name: BEARER
      # 其他配置...
  

• Mercure Hub启动时指定Cookie名称：

  mercure run --jwt-key='your-secret' --cookie-name=BEARER --cors-allowed-origins='http://localhost:8000' --with-credentials
  

• 客户端EventSource启用withCredentials: true：

  const eventSource = new EventSource(`${mercureHubURL}?topic=${encodedTopic}`, {
      withCredentials: true
  });
  

2. 验证Mercure Hub配置正确性 #

确保Mercure Hub的启动参数与Symfony配置完全匹配：

• 确认JWT_KEY与Symfony中lexik_jwt_authentication.private_key_passphrase（或MERCURE_JWT_SECRET）一致
• 启用CORS并允许你的Symfony应用域名：--cors-allowed-origins='http://localhost:8000'
• 允许Symfony应用推送更新：--publish-allowed-origins='http://localhost:8000'
• 确保未开启匿名访问（如果不需要）：--allow-anonymous=false

示例启动命令：

mercure run --jwt-key='your-shared-secret' --publish-allowed-origins='http://localhost:8000' --cors-allowed-origins='http://localhost:8000'

3. 检查JWT声明的准确性 #

• 解码令牌确认mercure字段存在，且subscribe数组中的topic与你订阅的完全一致（注意大小写、路径末尾斜杠、域名拼写）
• 确保JWT未过期（检查exp字段）
• 避免硬编码topic，改为动态生成用户专属topic（比如基于用户ID）：

  // src/EventListener/JWTCreatedListener.php
  $topics = ["http://localhost/api/notifications/{$user->getId()}"];
  

4. 确认API Platform的Mercure推送配置 #

• 在config/packages/api_platform.yaml中启用Mercure并配置Hub信息：

  api_platform:
      mercure:
          hub_url: '%env(MERCURE_URL)%'
          jwt_secret: '%env(MERCURE_JWT_SECRET)%'
  

• 确保Notification实体的mercure: ['private' => true]配置正确，这样API Platform会将更新推送到Mercure Hub的私有topic

5. 排查跨域问题 #

如果Symfony应用（比如http://localhost:8000）与Mercure Hub（http://localhost:8082）在不同端口/域名，需要：

• 配置Symfony的nelmio_corsBundle允许Mercure Hub的请求：

  nelmio_cors:
      defaults:
          allow_credentials: true
          origin_regex: true
          allow_origin: ['^http://localhost:8082$']
          allow_methods: ['GET', 'OPTIONS']
          allow_headers: ['Authorization', 'Content-Type']
          expose_headers: ['Authorization']
          max_age: 3600
  

• Mercure Hub启动时添加--cors-allowed-origins='http://localhost:8000'参数

内容的提问来源于stack exchange，提问作者sayou