Symfony防火墙无匹配时access_control失效问题求助

首先你的配置存在几个语法、拼写错误，这些是导致异常的直接诱因：

• 拼写失误：stateless person: true 应为 stateless: true，多输入了"person"；request_matcher: - XXX\Mathcer 里的Mathcer是拼写错误，正确应为Matcher，且request_matcher是单个匹配器，不需要加-（这是数组的写法）。
• YAML缩进混乱：lazy: true、stateless需和security: true保持同一层级，custom_authenticators、request_matcher也要正确缩进，否则Symfony无法解析配置结构。

修正后的基础配置示例：

app_customer_provider:
    security: true
    lazy: true
    stateless: true
    custom_authenticators:
        - XXX\Authenticator
        - XXX\Authenticator
    request_matcher: XXX\Matcher

核心问题分析 #

你设置了request_matcher，意味着只有匹配该规则的请求才会触发这个防火墙。当请求不匹配时，该防火墙完全不生效，相当于这些请求处于无防火墙保护状态，自然会绕过角色校验直接访问受保护路由。

解决思路 #

1. 调整request_matcher逻辑，让所有需要保护的路由（如/ping）都能匹配到该规则，确保防火墙覆盖所有需管控的请求。
2. 新增一个无request_matcher的通用防火墙，处理不匹配现有规则的请求，并在其中配置认证/访问控制规则，拦截未授权访问。同时注意access_control的规则顺序，严格规则放在前面保证优先级。

另外检查access_control配置，确保受保护路由明确指定所需角色：

access_control:
    - path: ^/ping
      roles: ROLE_USER

内容的提问来源于stack exchange，提问作者Alessandro Candon