Symfony access_control与JWT认证问题：React请求401但Postman正常

核心排查与解决步骤 #

相同JWT令牌在Postman可用但React请求失败，通常是请求头格式错误、CORS配置遗漏或Symfony防火墙规则顺序问题导致，以下是针对性处理方案：

1. 验证Authorization头格式 #

检查React中userToken是否存在多余字符（如引号、空格）：

• 在Axios请求前打印userToken：console.log(userToken)，确保输出是纯JWT字符串（无引号、无换行）。
• 若token是从localStorage/sessionStorage取出的JSON字符串，需先用JSON.parse(userToken)解析，避免出现Bearer "xxx"的错误格式（正确应为Bearer xxx）。

2. 完善Nelmio CORS Bundle配置 #

确保CORS规则允许Authorization请求头，修改config/packages/nelmio_cors.yaml：

nelmio_cors:
    defaults:
        allow_credentials: true
        allow_origin: ['%env(CORS_ALLOW_ORIGIN)%']
        allow_headers: ['Content-Type', 'Authorization']  # 必须包含Authorization
        allow_methods: ['GET', 'POST', 'PUT', 'PATCH', 'DELETE', 'OPTIONS']
        expose_headers: ['Authorization']
        max_age: 3600
    paths:
        '^/api/': ~  # 对所有/api路径应用规则

浏览器发送的OPTIONS预检请求会检查是否允许Authorization头，若未配置，浏览器会自动屏蔽该头，导致Symfony无法接收令牌。

3. 调整Symfony防火墙与access_control顺序 #

确保api防火墙优先匹配/api路径，且access_control规则顺序正确：

• 在security.yaml中，api防火墙需放在main防火墙之前（Symfony按顺序匹配防火墙）：

firewalls:
    dev:
        pattern: ^/(_(profiler|wdt)|css|images|js)/
        security: false
    api:  # 优先匹配/api路径
        pattern: ^/api
        stateless: true
        jwt: ~
    main:
        lazy: true
        provider: app_user_provider
        remember_me:
            secret: '%kernel.secret%'
            always_remember_me: true
        logout:
            path: logout
        json_login:
            check_path: api_login
            username_path: email
            password_path: password
            success_handler: lexik_jwt_authentication.handler.authentication_success
            failure_handler: lexik_jwt_authentication.handler.authentication_failure

• access_control规则需将/api的认证规则放在最前面：

access_control:
    - { path: ^/api, roles: IS_AUTHENTICATED_FULLY }
    - { path: ^/login, roles: PUBLIC_ACCESS }
    - { path: ^/, roles: IS_AUTHENTICATED_FULLY }

4. 排查Axios请求拦截器 #

检查React项目中是否有Axios请求拦截器修改了Authorization头，例如：

axios.interceptors.request.use(config => {
    // 确认此处未覆盖或删除Authorization头
    return config;
});

5. 查看Symfony日志定位具体错误 #

查看var/log/dev.log中的安全相关日志：

• 若日志显示Authorization header missing：说明浏览器未发送该头，回到CORS配置排查。
• 若日志显示Invalid JWT token：检查token是否过期（可手动解析token查看exp字段），或token格式是否正确。

内容的提问来源于stack exchange，提问作者Pyd