Symfony 5.4认证后动态添加角色，isGranted校验失败求助

你的问题核心在于：Symfony的AbstractToken类中，$roleNames属性仅在构造时初始化，即使后续更新了关联的User对象的角色，Token本身的角色列表也不会自动同步，导致isGranted()校验使用的是Token初始化时的旧角色。

下面给出几种可行的解决方案：

方案一：自定义Token类，同步User角色到Token #

创建自定义Token类，重写setUser()方法，确保每次设置User对象时，同步更新Token的角色列表。

1. 自定义Token类 #

namespace App\Security;

use Symfony\Component\Security\Core\Authentication\Token\UsernamePasswordToken;
use Symfony\Component\Security\Core\User\UserInterface;

class CustomUsernamePasswordToken extends UsernamePasswordToken
{
    public function setUser(UserInterface $user)
    {
        parent::setUser($user);
        // 将User的最新角色同步到Token的roleNames属性
        $this->roleNames = $user->getRoles();
    }
}

2. 配置使用自定义Token #

在security.yaml的firewall配置中，指定你的认证方式使用这个自定义Token类：

security:
    firewalls:
        main:
            # 其他防火墙配置...
            form_login:
                # 其他表单登录配置...
                token_class: App\Security\CustomUsernamePasswordToken
            # 如果使用其他认证方式（如Guard、JWT），请对应设置token_class参数

方案二：通过事件监听器手动更新Token角色 #

利用Symfony的安全事件或请求事件，在用户刷新完成后，手动更新Token的角色列表。

1. 创建事件订阅者 #

namespace App\EventListener;

use Symfony\Component\EventDispatcher\EventSubscriberInterface;
use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorageInterface;
use Symfony\Component\Security\Core\Event\AuthenticationSuccessEvent;
use Symfony\Component\Security\Core\SecurityEvents;
use Symfony\Component\Security\Core\User\UserInterface;

class TokenRoleUpdaterSubscriber implements EventSubscriberInterface
{
    private $tokenStorage;

    public function __construct(TokenStorageInterface $tokenStorage)
    {
        $this->tokenStorage = $tokenStorage;
    }

    public static function getSubscribedEvents(): array
    {
        return [
            // 认证成功时触发
            SecurityEvents::AUTHENTICATION_SUCCESS => 'updateTokenRoles',
            // 也可以监听请求事件，确保每次请求都同步角色
            // KernelEvents::REQUEST => 'updateTokenRolesOnRequest',
        ];
    }

    public function updateTokenRoles(AuthenticationSuccessEvent $event): void
    {
        $token = $event->getAuthenticationToken();
        $this->syncTokenRoles($token);
    }

    // 可选：每次请求时同步角色
    // public function updateTokenRolesOnRequest(RequestEvent $event): void
    // {
    //     if (!$event->isMasterRequest()) {
    //         return;
    //     }
    //     $token = $this->tokenStorage->getToken();
    //     $this->syncTokenRoles($token);
    // }

    private function syncTokenRoles($token): void
    {
        if (!$token || !$token->getUser() instanceof UserInterface) {
            return;
        }

        $user = $token->getUser();
        // 更新Token的角色列表
        $token->setRoleNames($user->getRoles());
        $this->tokenStorage->setToken($token);
    }
}

2. 注册事件订阅者 #

确保这个订阅者被Symfony自动注册（如果使用默认的服务配置，只需放在src/EventListener目录下即可）。

方案三：让User类动态返回角色（结合Token同步） #

如果你的ROLE_BONUS是基于用户的某些属性动态生成的，可以直接在User类的getRoles()方法中返回包含该角色的列表，但仍需结合前两种方案之一，确保Token初始化或刷新时能获取到最新的角色：

class User implements UserInterface, EquatableInterface
{
    // ...其他属性和方法

    public function getRoles(): array
    {
        $roles = $this->roles;
        // 动态添加ROLE_BONUS
        $roles[] = 'ROLE_BONUS';
        // 确保返回的角色是唯一的
        return array_unique($roles);
    }
}

关键说明 #

• 你的UserProvider::refreshUser()方法已经正确更新了User对象的角色，但Token不会自动感知这个变化，必须手动同步Token的roleNames属性。
• 方案一适合需要长期保持User和Token角色一致的场景；方案二更灵活，可根据业务条件选择性更新角色。

内容的提问来源于stack exchange，提问作者ChristopheBrun