Symfony 5.4 API自定义角色场景下is_granted权限拒绝问题排查

核心问题分析 #

你遇到的is_granted('MODULE_TRAINING')校验失败，核心原因大概率是Symfony默认的RoleVoter只识别以ROLE_前缀开头的角色，而你的自定义角色（如MODULE_TRAINING）不符合这个规则，导致Voter跳过了权限校验，最终返回false。

具体解决方案 #

方案1：修改角色命名（最简单直接） #

将所有自定义模块角色加上ROLE_前缀，比如：

• 把Token中的MODULE_TRAINING改为ROLE_MODULE_TRAINING
• 同步更新Security注解：@Security("is_granted('ROLE_MODULE_TRAINING')")
• 确保用户实体的getRoles()方法也返回带前缀的角色列表

方案2：自定义Voter处理非ROLE_前缀的权限 #

如果不想修改现有角色命名，可以创建一个专门处理模块权限的Voter：

// src/Security/ModulePermissionVoter.php
namespace App\Security;

use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Authorization\Voter\Voter;

class ModulePermissionVoter extends Voter
{
    protected function supports(string $attribute, $subject): bool
    {
        // 只处理以MODULE_开头的权限属性
        return str_starts_with($attribute, 'MODULE_');
    }

    protected function voteOnAttribute(string $attribute, $subject, TokenInterface $token): bool
    {
        $user = $token->getUser();
        // 未登录用户直接拒绝
        if (!$user) {
            return false;
        }

        // 检查用户角色中是否包含该模块权限
        return in_array($attribute, $token->getRoleNames());
    }
}

Symfony会自动扫描src/Security目录下的Voter并注册，无需额外配置。

方案3：修改默认RoleVoter的前缀规则（不推荐） #

可以通过配置修改RoleVoter的前缀识别逻辑，但可能影响其他默认权限逻辑：

# config/packages/security.yaml
security:
    voters:
        Symfony\Component\Security\Core\Authorization\Voter\RoleVoter:
            arguments: [''] # 将默认前缀从ROLE_改为空字符串，支持所有角色

额外排查点 #

• 确认控制器的Security注解命名空间正确：

  use Sensio\Bundle\FrameworkExtraBundle\Configuration\Security;
  

• 检查用户实体的getRoles()方法，确保确实返回了包含MODULE_TRAINING的完整角色列表
• 验证Token的构建逻辑，确保自定义角色被正确添加到Token中

内容的提问来源于stack exchange，提问作者oracle972