Symfony6：无需security.yml实现登录重定向及表单提交异常问题

核心原因 #

Symfony的表单登录流程中，默认是由Security组件直接拦截并处理登录请求的——你的LoginController里的表单提交判断逻辑根本不会被执行，因为请求在到达控制器之前就被Security的认证监听器接管了，这就是为什么你只能靠default_target_path完成跳转的原因。

具体解决步骤 #

1. 调整Security配置，让请求先进入控制器 #

修改security.yml（或security.yaml）中的登录配置，将form_login的login_path和check_path指向同一个控制器路由，同时关闭Security的自动跳转逻辑：

security:
    firewalls:
        main:
            form_login:
                login_path: app_login
                check_path: app_login
                # 关闭Security默认跳转相关配置
                use_referer: false
                always_use_default_target_path: false

2. 在LoginController中手动处理认证与跳转 #

修改控制器代码，手动调用Security相关服务完成登录认证，之后自主控制重定向逻辑：

use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\RedirectResponse;
use Symfony\Component\Security\Core\Authentication\Token\UsernamePasswordToken;
use Symfony\Component\Security\Core\Encoder\UserPasswordEncoderInterface;
use Symfony\Component\Security\Http\Authentication\AuthenticationUtils;
use Symfony\Component\Security\Core\Security;
use Symfony\Component\Security\Http\Event\InteractiveLoginEvent;
use Symfony\Component\Security\Core\Event\AuthenticationEvent;
use Symfony\Component\EventDispatcher\EventDispatcherInterface;

// ...

public function login(
    Request $request,
    AuthenticationUtils $authUtils,
    UserPasswordEncoderInterface $encoder,
    Security $security,
    EventDispatcherInterface $eventDispatcher
) {
    // 获取登录错误与上次输入的用户名
    $error = $authUtils->getLastAuthenticationError();
    $lastUsername = $authUtils->getLastUsername();

    $form = $this->createForm(LoginFormType::class);
    $form->handleRequest($request);

    if ($form->isSubmitted() && $form->isValid()) {
        $username = $form->get('username')->getData();
        $password = $form->get('password')->getData();
        
        // 查询用户
        $user = $this->getDoctrine()->getRepository(User::class)->findOneBy(['username' => $username]);
        if (!$user) {
            $this->addFlash('error', '用户名不存在');
            return $this->redirectToRoute('app_login');
        }

        // 验证密码
        if (!$encoder->isPasswordValid($user, $password)) {
            $this->addFlash('error', '密码错误');
            return $this->redirectToRoute('app_login');
        }

        // 创建认证Token并完成登录
        $token = new UsernamePasswordToken($user, null, 'main', $user->getRoles());
        $security->getTokenStorage()->setToken($token);

        // 触发登录事件，保证Security后续流程正常
        $loginEvent = new InteractiveLoginEvent($request, $token);
        $eventDispatcher->dispatch($loginEvent);

        // 自定义重定向到目标路由
        return $this->redirectToRoute('danger-zone_admin');
    }

    return $this->render('security/login.html.twig', [
        'loginForm' => $form->createView(),
        'last_username' => $lastUsername,
        'error' => $error,
    ]);
}

3. 清理冗余配置 #

移除security.yml中default_target_path相关配置，避免与控制器的跳转逻辑冲突。

额外注意事项 #

• 确保LoginFormType中的字段名称与控制器中获取的字段名一致（比如username、password）。
• Symfony 6.x版本中，部分事件类和服务注入方式可能略有差异，需根据实际版本调整。
• 控制器依赖的服务（如UserPasswordEncoderInterface、EventDispatcherInterface）需通过构造函数或属性注入完成。

内容的提问来源于stack exchange，提问作者TugBenson