基于LDAP与Symfony实现用户角色动态调整

完全可行，而且有比直接修改会话属性更规范的实现方式，以下是两种常用方案：

方案一：通过登录事件监听动态添加角色 #

利用Symfony的security.interactive_login事件，在用户登录成功后读取LDAP的memberOf属性并映射为对应角色：

1. 创建事件监听器

// src/EventListener/LdapRoleListener.php
namespace App\EventListener;

use Symfony\Component\Security\Core\Event\InteractiveLoginEvent;
use Symfony\Component\Security\Core\Role\Role;

class LdapRoleListener
{
    public function onInteractiveLogin(InteractiveLoginEvent $event): void
    {
        $user = $event->getAuthenticationToken()->getUser();
        
        // 仅处理LDAP用户（根据实际用户类调整判断逻辑）
        if (!property_exists($user, 'attributes')) {
            return;
        }

        $memberOf = $user->attributes['memberOf'] ?? [];
        $currentRoles = $user->getRoles();

        // 定义LDAP组DN到Symfony角色的映射关系
        $groupRoleMap = [
            'CN=AdminGroup,DC=your-domain,DC=com' => 'ROLE_ADMIN',
            'CN=ContentEditor,DC=your-domain,DC=com' => 'ROLE_EDITOR',
        ];

        // 遍历用户所属组，添加对应角色
        foreach ($memberOf as $groupDn) {
            if (isset($groupRoleMap[$groupDn])) {
                $currentRoles[] = new Role($groupRoleMap[$groupDn]);
            }
        }

        // 去重后更新用户角色
        $user->setRoles(array_unique($currentRoles, SORT_REGULAR));
    }
}

2. 注册监听器
   在services.yaml中添加标签，让Symfony识别这个事件监听：

services:
    App\EventListener\LdapRoleListener:
        tags:
            - { name: kernel.event_listener, event: security.interactive_login }

方案二：自定义LDAP用户提供者 #

继承Symfony原生的LdapUserProvider，在加载用户时直接根据memberOf属性设置角色，这是更贴合Security组件流程的方式：

1. 创建自定义用户提供者

// src/Security/CustomLdapUserProvider.php
namespace App\Security;

use Symfony\Component\Ldap\LdapInterface;
use Symfony\Component\Security\Core\User\LdapUserProvider as BaseProvider;
use Symfony\Component\Security\Core\User\UserInterface;

class CustomLdapUserProvider extends BaseProvider
{
    public function __construct(LdapInterface $ldap, string $baseDn, string $searchDn = null, string $searchPassword = null, string $defaultRole = 'ROLE_USER')
    {
        parent::__construct($ldap, $baseDn, $searchDn, $searchPassword, $defaultRole);
    }

    protected function loadUser(string $username, array $entry): UserInterface
    {
        $user = parent::loadUser($username, $entry);
        
        $memberOf = $entry['memberOf'] ?? [];
        $roles = $user->getRoles();

        $groupRoleMap = [
            'CN=AdminGroup,DC=your-domain,DC=com' => 'ROLE_ADMIN',
            'CN=ContentEditor,DC=your-domain,DC=com' => 'ROLE_EDITOR',
        ];

        foreach ($memberOf as $groupDn) {
            if (isset($groupRoleMap[$groupDn])) {
                $roles[] = $groupRoleMap[$groupDn];
            }
        }

        $user->setRoles(array_unique($roles));
        return $user;
    }
}

2. 配置使用自定义提供者
   修改security.yaml中的用户提供者配置，替换为自定义的服务：

security:
    providers:
        ldap_users:
            id: App\Security\CustomLdapUserProvider

注意事项 #

• 两种方案都无需创建实体类，完全基于Symfony的LDAP用户体系实现
• 不要直接修改会话属性来管理权限，这种方式绕过了Security组件的角色校验逻辑，容易出现权限漏洞或不一致问题
• 请根据实际的LDAP组DN调整groupRoleMap中的配置

内容的提问来源于stack exchange，提问作者TugBenson