如何限制json_login路由仅允许POST请求？

问题原因 #

你的access_control规则顺序存在逻辑问题：第一条规则^/auth/login会匹配所有以/auth/login开头的路径（包括/auth/login_check），且这条规则未限制请求方法，导致后面针对/auth/login_check的规则根本不会被触发。

解决方案 #

调整access_control的规则顺序，把更具体的/auth/login_check规则放在最前面，确保它优先被匹配：

security:
    # ... 其他配置保持不变 ...
    access_control:
        - { path: ^/auth/login_check, roles: PUBLIC_ACCESS, methods: ['POST'] }
        - { path: ^/auth/login, roles: PUBLIC_ACCESS }
        - { path: ^/api,       roles: IS_AUTHENTICATED_FULLY }

验证步骤 #

1. 清除Symfony缓存：

   php bin/console cache:clear
   

2. 用Postman测试GET请求/auth/login_check，此时应返回权限错误或方法不允许的响应；POST请求则可正常获取Token。

内容的提问来源于stack exchange，提问作者Floxblah