如何让Symfony的ArgumentValueResolver在安全验证后执行？

问题背景 #

我通过实现ArgumentValueResolverInterface来创建并验证请求DTO，同时配置了防火墙保护路由，并用IsGranted属性做细粒度权限控制。现在遇到的问题是：值解析器及DTO验证逻辑会在安全防火墙和IsGranted验证之前运行，导致未认证的请求也会先返回DTO验证错误，而不是预期的401/403。请问如何调整值解析器，让它在安全验证完成后执行？这是否可行？

我的值解析器代码如下：

class RequestDTOValueResolver implements ArgumentValueResolverInterface
{
    public function __construct(protected ValidatorInterface $validator)
    {}

    public function supports(Request $request, ArgumentMetadata $argument): bool
    {
        return is_subclass_of($argument->getType(), RequestDTOInterface::class);
    }

    public function resolve(Request $request, ArgumentMetadata $argument): iterable
    {
        $className = $argument->getType();
        /** @var AbstractRequestDTO $dto */
        $dto = new $className($request);
        $groups = $dto->getGroups();

        $errors = $this->validator->validate($dto, null, !empty($groups) ? $groups : null);

        if ($errors->count()) {
            throw ValidationException::create($errors, "One or more fields are invalid.");
        }

        yield $dto;
    }
}

问题根源 #

Symfony的请求处理顺序中，参数解析（包括ArgumentValueResolver的执行）发生在kernel.controller_arguments事件，而IsGranted属性的验证则发生在更早的kernel.controller事件，防火墙的访问控制更是在kernel.request事件中执行。如果你的防火墙允许匿名访问，或者IsGranted的验证逻辑没有提前拦截请求，就会出现未认证请求先触发DTO验证的情况。

要让DTO验证在安全验证之后执行，是完全可行的，以下是两种推荐方案：

方案1：将DTO验证移到控制器参数的@Valid注解 #

修改值解析器，只负责创建DTO对象，移除内部的验证逻辑：

class RequestDTOValueResolver implements ArgumentValueResolverInterface
{
    public function __construct(protected ValidatorInterface $validator)
    {}

    public function supports(Request $request, ArgumentMetadata $argument): bool
    {
        return is_subclass_of($argument->getType(), RequestDTOInterface::class);
    }

    public function resolve(Request $request, ArgumentMetadata $argument): iterable
    {
        $className = $argument->getType();
        /** @var AbstractRequestDTO $dto */
        $dto = new $className($request);
        yield $dto;
    }
}

然后在控制器方法的DTO参数上添加#[Valid]注解，让Symfony自动在控制器调用前（此时IsGranted验证已完成）执行验证：

use Symfony\Component\Validator\Constraints\Valid;
use Symfony\Component\Security\Http\Attribute\IsGranted;

// 控制器方法
public function updateAction(#[IsGranted('ROLE_EDITOR')] #[Valid] UpdateRequestDTO $dto)
{
    // 业务逻辑
}

这种方式遵循Symfony原生流程，无需额外配置，验证失败时会自动抛出ValidationFailedException，和你原来的逻辑行为一致，但执行时机已延后到安全验证之后。

方案2：手动在控制器中执行DTO验证 #

如果需要更灵活的验证逻辑，可以在值解析器中仅创建DTO，然后在控制器方法内部手动调用验证器：

use Symfony\Component\Security\Http\Attribute\IsGranted;
use Symfony\Component\Validator\Validator\ValidatorInterface;

// 控制器方法
public function createAction(#[IsGranted('ROLE_CREATE')] CreateRequestDTO $dto, ValidatorInterface $validator)
{
    $errors = $validator->validate($dto, null, $dto->getGroups());
    if ($errors->count()) {
        throw ValidationException::create($errors, "One or more fields are invalid.");
    }

    // 业务逻辑
}

这种方式适合需要在验证前添加额外业务判断的场景，但代码会稍微冗余。

额外说明 #

Symfony的kernel.controller_arguments事件本身就设计在kernel.controller事件之后（即IsGranted验证之后）执行。如果你的请求仍然先触发DTO验证，可能是以下原因：

1. 防火墙配置允许匿名访问，且IsGranted属性未正确拦截未认证请求；
2. 自定义的事件监听器优先级打乱了原生顺序；
3. 使用的Symfony版本过低（确保使用Symfony 4.3+的注解式IsGranted）。

通过上述两种方案，你可以确保DTO验证在安全验证完成后执行，避免未认证请求先返回验证错误的问题。

内容的提问来源于stack exchange，提问作者Code Spirit