Symfony 5.4+API Platform按主机限制API访问的防火墙配置问题

为什么你的当前配置无效 #

你在api防火墙里使用的host: 127.0.0.1配置并不是用来限制客户端来源IP的——这个选项的作用是匹配请求的Host请求头（即浏览器地址栏里的域名/IP），而非发起请求的客户端IP地址。所以无论从哪个IP访问，只要请求的Host头符合服务器绑定地址，防火墙都会生效，这完全不符合你的需求。

另外，API Platform是基于Symfony框架构建的，它完全遵循Symfony Security组件的规则，不存在“优先级高于框架”的情况，只是你的配置方向错了。

正确的Symfony框架层配置方法 #

要实现仅允许本地网络访问/api路径，你需要利用Symfony的access_control规则，结合IP地址匹配来限制访问。

步骤1：修正防火墙配置 #

先移除api防火墙里无效的host选项：

firewalls:
    dev:
        pattern: ^/(_(profiler|wdt)|css|images|js)/
        security: false

    api: 
        pattern: ^/api/
        stateless: true
        provider: app_user_provider
        jwt: ~
        # 移除host: 127.0.0.1，因为它不限制客户端IP

    main:
        form_login:
            login_path: app_login
            check_path: app_login
        lazy: true
        provider: app_user_provider
        logout:
            path: app_logout
            invalidate_session: true
            target: app_login

步骤2：添加access_control规则 #

在security.yaml中添加access_control段，指定仅允许本地IP（包括IPv4、IPv6及局域网IP）访问/api，其他IP直接返回403：

access_control:
    # 允许本地IP及局域网IP访问所有/api路径
    - { path: ^/api, roles: IS_AUTHENTICATED_ANONYMOUSLY, ip: ['127.0.0.1', '::1', '192.168.0.0/24'] }
    # 拒绝所有非本地IP访问/api
    - { path: ^/api, roles: ROLE_NO_ACCESS }

规则说明：

• ip参数支持单个IP、IPv6地址及CIDR网段格式（比如192.168.0.0/24表示整个192.168.0.x局域网）。
• ROLE_NO_ACCESS是一个不存在的角色，所有不符合前面条件的请求都会被拒绝，返回HTTP 403错误。
• 如果你的API需要结合JWT认证（比如本地IP也需要登录），可以把IS_AUTHENTICATED_ANONYMOUSLY替换为IS_AUTHENTICATED_FULLY或你的自定义角色。

可选：用表达式更灵活地控制IP #

如果你需要更复杂的IP判断逻辑，可以使用Symfony的表达式语言：

access_control:
    - { path: ^/api, roles: IS_AUTHENTICATED_ANONYMOUSLY, expression: "request.clientIp() in ['127.0.0.1', '::1'] or request.clientIpMatches('192.168.0.0/24')" }
    - { path: ^/api, roles: ROLE_NO_ACCESS }

服务器层面配置作为补充 #

如果希望在HTTP服务器（Nginx/Apache）层面做更底层的限制，也可以直接在服务器配置中添加IP白名单：

• Nginx示例：

location /api {
    allow 127.0.0.1;
    allow ::1;
    allow 192.168.0.0/24;
    deny all;

    # 原有反向代理配置
    proxy_pass http://your-symfony-server;
}

• Apache示例：

<Location "/api">
    Require ip 127.0.0.1 ::1 192.168.0.0/24
</Location>

服务器层面的限制会在请求到达Symfony之前生效，性能更高，但灵活性不如框架层面的配置。

内容的提问来源于stack exchange，提问作者zetorycz