Sulu CMF权限异常：未授权页面可直接访问，如何实现拦截？

• 确认页面权限的角色配置
  进入后台页面的权限标签，确保不仅移除了该页面的所有权限，还要检查匿名用户（Anonymous User）的角色是否被意外授予了该页面的view权限。匿名用户默认可能继承全局权限，需在角色管理中确认对应my_site系统下的页面权限已完全禁用。

• 验证页面模板的安全上下文配置
  检查页面模板（路径一般为config/templates/pages/下的XML文件），确保模板配置了与webspace匹配的security_context，示例配置：

  <template xmlns="http://schemas.sulu.io/template/template"
            xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
            xsi:schemaLocation="http://schemas.sulu.io/template/template http://schemas.sulu.io/template/template-1.0.xsd">
      <key>custom-page-template</key>
      <security_context>sulu.page.my_site</security_context>
      <!-- 其他模板字段配置 -->
  </template>
  

  其中security_context格式为sulu.page.{system_name}，需与webspace配置里的<system>my_site</system>完全对应。

• 确保路由触发权限检查
  若使用自定义控制器渲染页面，需手动添加权限验证逻辑，调用Sulu的权限检查服务：

  use Sulu\Component\Security\Authorization\PermissionCheckerInterface;
  use Symfony\Component\Security\Core\Exception\AccessDeniedException;
  
  public function customPageAction(Request $request, PermissionCheckerInterface $permissionChecker)
  {
      $page = $this->getCurrentPage($request); // 自行实现获取当前页面实体的逻辑
      if (!$permissionChecker->hasPermission($page, 'view')) {
          throw new AccessDeniedException();
      }
      // 页面渲染逻辑
  }
  

  若使用Sulu默认的PageController，则无需额外配置，但要确保路由配置未绕过默认权限检查逻辑。

• 刷新权限相关缓存
  执行以下命令清空缓存，确保新的权限配置生效：

  bin/console cache:clear
  bin/console sulu:security:cache:clear
  

• 细化Webspace访问控制规则
  可在webspace的security节点中添加access-control配置，更细粒度限制角色访问范围，示例：

  <security permission-check="true">
      <system>my_site</system>
      <access-control>
          <role name="Anonymous">
              <allow action="view" path="/public/*" />
              <deny action="view" path="/restricted/*" />
          </role>
      </access-control>
  </security>
  

  此配置可直接限制匿名用户对特定路径的访问，作为页面权限的补充。

内容的提问来源于stack exchange，提问作者Mario A