无需token，如何根据角色层级批量验证用户权限？替代isGranted()方案

1. 复用Symfony Security核心组件实现权限检查 #

不需要从零编写服务，可以直接利用Symfony Security组件的核心类来模拟isGranted()的逻辑，避免重复造轮子：

a. 处理角色层级展开 #

如果系统存在角色继承关系（比如ROLE_ADMIN包含ROLE_USER权限），先注入RoleHierarchyInterface来获取用户的所有可达角色：

use Symfony\Component\Security\Core\Role\RoleHierarchyInterface;

class UserPermissionChecker
{
    private RoleHierarchyInterface $roleHierarchy;

    public function __construct(RoleHierarchyInterface $roleHierarchy)
    {
        $this->roleHierarchy = $roleHierarchy;
    }

    private function getReachableRoles(array $userRoles): array
    {
        return $this->roleHierarchy->getReachableRoleNames($userRoles);
    }
}

b. 模拟Token调用权限决策逻辑 #

通过创建模拟的用户Token（无需真实登录凭证），结合AccessDecisionManagerInterface执行权限检查，和isGranted()的底层逻辑完全一致：

use Symfony\Component\Security\Core\Authorization\AccessDecisionManagerInterface;
use Symfony\Component\Security\Core\Authentication\Token\UsernamePasswordToken;
use App\Entity\User;

class UserPermissionChecker
{
    private AccessDecisionManagerInterface $decisionManager;
    private RoleHierarchyInterface $roleHierarchy;

    public function __construct(
        AccessDecisionManagerInterface $decisionManager,
        RoleHierarchyInterface $roleHierarchy
    ) {
        $this->decisionManager = $decisionManager;
        $this->roleHierarchy = $roleHierarchy;
    }

    public function hasPermission(User $user, string $permission, mixed $subject = null): bool
    {
        // 生成仅包含用户角色的模拟Token，无需真实登录凭证
        $reachableRoles = $this->getReachableRoles($user->getRoles());
        $token = new UsernamePasswordToken(
            $user,
            'unused', // 凭证字段无实际作用，随便填充
            'main',   // 对应security.yaml中配置的防火墙名称
            $reachableRoles
        );

        // 调用权限决策管理器，完成和isGranted()一致的检查逻辑
        return $this->decisionManager->decide($token, [$permission], $subject);
    }

    private function getReachableRoles(array $userRoles): array
    {
        return $this->roleHierarchy->getReachableRoleNames($userRoles);
    }
}

2. 批量检查的使用方式 #

将上面的UserPermissionChecker注册为服务后，就可以在需要遍历用户的场景中注入使用：

// 在业务服务或控制器中
public function processQualifiedUsers(UserRepository $userRepo, UserPermissionChecker $checker): void
{
    $allUsers = $userRepo->findAll();

    foreach ($allUsers as $user) {
        // 检查用户是否拥有指定权限或角色
        if ($checker->hasPermission($user, 'ROLE_CONTENT_EDITOR')) {
            // 执行目标操作
            $this->performUserAction($user);
        }
    }
}

3. 关键注意事项 #

• 如果你的权限检查依赖用户的自定义属性（比如用户等级、部门），只要已经通过自定义Voter实现了逻辑，上述方法会自动复用这些规则，无需额外修改。
• 模拟Token的防火墙名称必须和security.yaml中的配置一致，部分Voter可能依赖防火墙上下文。
• 此方法仅用于权限检查，不会触发任何登录状态相关的逻辑，完全符合无Token的需求。

内容的提问来源于stack exchange，提问作者unkownStudent