API Platform自定义Provider先执行、安全检查后置是否为预期行为？

这是设计预期行为，并非安全漏洞。

原因分析 #

API Platform的安全检查（由DenyAccessListener处理）触发于Symfony内核的kernel.controller阶段，而自定义State Provider的provide()方法则在API Platform自身的资源处理流程中更早执行——这个设计是为了支持数据级权限控制（比如获取数据后再判断当前用户是否能访问该条数据），但副作用就是无权限用户的请求也会触发Provider内的逻辑，哪怕最终会返回401/403。

解决方案 #

1. 在Provider内部手动前置安全检查 #

这是最直接的方式，适合单个Provider的场景：

use Symfony\Component\Security\Core\Exception\AccessDeniedException;

class MyProvider implements ProviderInterface
{
    public function __construct(private readonly Security $security) {}

    public function provide(Operation $operation, array $uriVariables = [], array $context = [])
    {
        // 前置安全检查，不通过直接抛出异常
        if (!$this->security->isGranted('ROLE_API')) {
            throw new AccessDeniedException();
        }

        var_dump($this->security->isGranted('ROLE_API'));
        echo "只有授权用户才能看到这段输出";
        // 后续业务逻辑...
    }
}

2. 用装饰器统一拦截Provider执行 #

如果多个Provider都需要前置安全检查，可以实现一个装饰器类，避免重复代码：

use ApiPlatform\Metadata\Operation;
use ApiPlatform\State\ProviderInterface;
use Symfony\Component\Security\Core\Exception\AccessDeniedException;
use Symfony\Component\Security\Core\Security;

class SecuredProviderDecorator implements ProviderInterface
{
    public function __construct(
        private readonly ProviderInterface $innerProvider,
        private readonly Security $security,
        private readonly string $requiredRole
    ) {}

    public function provide(Operation $operation, array $uriVariables = [], array $context = [])
    {
        if (!$this->security->isGranted($this->requiredRole)) {
            throw new AccessDeniedException();
        }

        return $this->innerProvider->provide($operation, $uriVariables, $context);
    }
}

然后在services.yaml中配置装饰器，指定要包裹的Provider和所需角色：

services:
    App\State\SecuredProviderDecorator:
        decorates: App\State\MyProvider
        arguments:
            $requiredRole: 'ROLE_API'

注意事项 #

ApiResource的security属性无法拦截Provider的执行，它的作用是在数据获取完成后，判断当前用户是否有权限访问该资源的响应，不要依赖它来避免高开销或敏感逻辑的执行。

内容的提问来源于stack exchange，提问作者Michal Vrchota