如何在API Platform的JWT Token保护API中开放用户注册路由

核心解决思路就是让用户注册接口允许匿名访问——新用户还未生成JWT Token，必须开放这个端点的无认证访问权限。具体操作分两步：

1. 修改security.yaml的安全控制规则 #

在配置文件的access_control节点中，给注册接口添加一条优先级更高的匿名访问规则，确保它不会被后面的通用JWT认证规则拦截。示例配置如下：

security:
    # 其他已有的安全配置...
    access_control:
        # 匹配你的注册接口路径，允许匿名访问
        - path: ^/api/users
          roles: IS_AUTHENTICATED_ANONYMOUSLY
        # 通用的JWT保护规则（所有/api开头的接口需要认证）
        - path: ^/api
          roles: IS_AUTHENTICATED_FULLY

注意：规则是按从上到下的顺序匹配的，所以一定要把匿名访问规则放在通用JWT规则的前面。如果你的注册接口路径不是/api/users，替换成实际的路径即可（比如^/api/register）。

2. 检查实体的API资源配置 #

如果你的User实体在#[ApiResource]注解里给注册操作（一般是collection的post方法）设置了强制认证的security属性，需要修改为允许匿名访问：

#[ApiResource(
    collectionOperations: [
        'post' => [
            // 允许匿名用户调用注册接口
            'security' => 'is_granted("IS_AUTHENTICATED_ANONYMOUSLY")',
        ],
    ],
    // 其他实体配置...
)]
class User
{
    // 实体字段和方法...
}

如果之前没有设置security属性，这一步可以跳过，直接由security.yaml的规则控制访问权限。

内容的提问来源于stack exchange，提问作者Pierre Goupil