Symfony 5中能否通过表单登录访问OAuth2保护的API端点？

完全可以实现，只需调整security.yaml的防火墙配置，让API防火墙同时支持OAuth2令牌认证和会话（Session）认证，具体操作如下：

调整api防火墙配置 #

修改原有的api防火墙规则，使其兼容会话认证：

firewalls:
    api:
        pattern: ^/api(?!/doc$)
        security: true
        # 关闭stateless，允许读取会话中已登录的用户信息
        stateless: false
        # 和后台使用同一用户提供者，保证用户数据一致
        provider: app_user_provider
        oauth2: true # 保留原有OAuth2令牌认证方式
        anonymous: lazy # 允许匿名访问，兼容未登录用户的令牌认证场景
        # 禁用表单登录的跳转逻辑，避免API请求被重定向到登录页
        form_login:
            require_previous_session: false
    main:
        lazy: true
        provider: app_user_provider
        form_login:
            login_path: app_login
            check_path: app_login
            enable_csrf: true
            default_target_path: app_index
            use_referer: true
        logout:
            path: app_logout
            target: app_index

配置访问控制规则 #

确保API路径仅对已认证的管理员开放：

access_control:
    # API路径要求管理员角色
    - { path: ^/api(?!/doc$), roles: ROLE_ADMIN }
    # 后台页面的访问规则
    - { path: ^/users, roles: ROLE_ADMIN }
    # 其他自定义规则...

关键逻辑说明 #

1. 关闭stateless：原配置的stateless: true会让API防火墙忽略会话数据，改为false后即可读取后台登录留下的会话用户信息。
2. 共享用户提供者：让API防火墙使用和后台相同的用户提供者，保证用户身份校验的一致性。
3. 双认证兼容：同时保留OAuth2令牌认证和会话认证，既不影响原有API客户端的令牌访问，又支持后台登录用户直接访问API。
4. 避免跳转干扰：添加form_login: { require_previous_session: false }，防止API请求被错误重定向到后台登录页，保持API的接口特性。

配置完成后，已通过后台表单登录的管理员访问api/entry/get/1这类API端点时，会自动通过会话完成认证，无需手动携带OAuth2令牌，完美适配Swagger沙箱的便捷调试需求。

内容的提问来源于stack exchange，提问作者Roubi