Symfony 6自定义Authenticator被忽略问题求助

问题分析 #

你的配置中同时启用了json_login内置认证器和自定义ApiAuthenticator，而json_login会优先接管check_path: api_login对应的路由请求，导致自定义认证器完全无法触发。另外执行config:dump-reference security看不到自定义认证器，大概率是配置冲突或缓存问题导致的。

解决方案 #

1. 移除冲突的json_login配置 #

修改security防火墙配置，删除json_login节点——既然要使用自定义认证器处理登录请求，就不需要保留内置的JSON登录认证器：

firewalls:
    dev:
        pattern: ^/(_(profiler|wdt)|css|images|js)/
        security: false
    main:
        custom_authenticators:
            - App\Security\ApiAuthenticator
        lazy: true
        # 移除以下json_login相关配置
        # json_login:
        #     check_path: api_login
        #     username_path: security.credentials.username
        #     password_path: security.credentials.password

2. 确保自定义Authenticator逻辑正确 #

检查App\Security\ApiAuthenticator类，必须正确实现AuthenticatorInterface（或继承AbstractAuthenticator），且supports()方法要准确识别/api/login的请求：

<?php

namespace App\Security;

use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Passport;
use Symfony\Component\Security\Http\Authenticator\Passport\Credentials\PasswordCredentials;

class ApiAuthenticator extends AbstractAuthenticator
{
    public function supports(Request $request): bool
    {
        // 仅处理/api/login的POST请求
        return $request->getPathInfo() === '/api/login' && $request->isMethod('POST');
    }

    public function authenticate(Request $request): Passport
    {
        // 从请求体中解析用户名密码，匹配你的请求结构
        $payload = json_decode($request->getContent(), true);
        $username = $payload['security']['credentials']['username'] ?? '';
        $password = $payload['security']['credentials']['password'] ?? '';

        return new Passport(
            new UserBadge($username),
            new PasswordCredentials($password)
        );
    }

    public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewallName): ?Response
    {
        // 认证成功后的逻辑，比如返回JWT或用户信息
        return null;
    }

    public function onAuthenticationFailure(Request $request, AuthenticationException $exception): ?Response
    {
        // 认证失败后的逻辑，比如返回错误提示
        return null;
    }
}

3. 清除缓存 #

执行命令清除Symfony缓存，确保新配置生效：

php bin/console cache:clear

4. 验证配置加载 #

再次执行命令查看安全配置，确认自定义认证器已被系统加载：

php bin/console config:dump-reference security

额外检查点 #

• 确认ApiAuthenticator类文件路径、命名空间完全正确
• access_control中^/api/login设置为PUBLIC_ACCESS是合理的，允许匿名访问但不影响认证器处理请求逻辑

内容的提问来源于stack exchange，提问作者Intruder04