Symfony 6自定义OAuth认证器如何保护路由拦截未认证访问？

1. 访问控制配置修改方案 #

你的access_control规则顺序有误，Symfony的访问控制是从上到下匹配，第一个命中的规则生效。你现在把^/（匹配所有路径）的规则放在最前面，导致/dashboard的保护规则永远不会被触发。

具体调整： #

1. 重排access_control顺序，将需要保护的路由规则放在最顶端：

access_control:
    - { path: ^/dashboard, roles: IS_AUTHENTICATED_FULLY }
    - { path: ^/(|connect/google), roles: PUBLIC_ACCESS }

2. 修正public防火墙的匹配规则，避免误匹配其他路径：
   原规则^/(|connect/google)/末尾的斜杠可能导致匹配异常，改成精准匹配根路径和登录跳转路径：

public:
    pattern: ^/(connect/google)?$
    security: false

这样只有根路径（/）和/connect/google会跳过安全检查，其他路径会进入google_authenticator防火墙处理认证逻辑。

2. 自定义认证器的运行时机 #

自定义认证器不需要在每个请求都运行：

• 只有当请求匹配到认证器的supports()方法返回true时（比如Google OAuth的回调请求），才会触发authenticate()方法完成用户认证，认证成功后用户信息会存入会话。
• 后续请求会直接从会话中读取已认证的用户信息，无需再次执行认证器的authenticate()逻辑。
• 你需要确保认证器的supports()方法只针对登录相关请求（比如OAuth回调路径）返回true，避免不必要的执行。

内容的提问来源于stack exchange，提问作者party-ring