Symfony6 json_login返回401错误 刷新页面后才认证成功

出现「返回401凭据缺失、控制器内$user为null，但刷新页面显示已登录」的核心原因是你对Symfony json_login 认证机制的执行顺序理解错误：

• json_login 的认证逻辑、会话写入动作，是在登录路由的控制器代码执行完毕、响应返回前的安全事件阶段触发的
• 你在控制器内通过#[CurrentUser]取用户时，认证流程还没执行，拿到的必然是null，此时手动返回401不会中断后续的认证流程
• 控制器返回401响应后，json_login 监听器正常校验你提交的用户名密码，校验通过后自动把用户信息写入session，所以刷新页面时会读取到session内的有效认证状态，显示已登录
• 另外你的配置还缺失了密码字段映射，默认json_login会从请求体取_password字段作为密码，你前端传的是password字段，本身就会触发凭据识别失败。

• 第一步：简化登录控制器逻辑，不要在控制器内做用户是否认证的判断，这部分逻辑由安全组件自动接管

  class LoginController extends AbstractController{
      #[Route('/login', name: 'app_login', methods: ['POST'])]
      public function login(): Response
      {
          // 控制器无需注入User对象，也无需做认证判断
          // 认证失败时安全组件会自动返回401响应，认证成功会自动写入会话
          return $this->json([
              'message' => 'login success'
          ]);
      }
  }
  

• 第二步：补全security.yaml内json_login的配置，添加密码字段映射

  firewalls:
      dev:
          pattern: ^/(_(profiler|wdt)|css|images|js)/
          security: false
      main:
          lazy: true
          provider: app_user_provider
          json_login:
              check_path: app_login
              username_path: username
              password_path: password # 新增该行，匹配前端传的password字段
  

• 第三步：修改前端fetch请求配置，添加cookie携带规则，避免后续请求因为不带session cookie出现登录态丢失

  fetch('https://127.0.0.1:8000/login', {
      method: 'POST',
      credentials: 'include', // 新增该行，允许请求携带、保存session cookie
      headers: {
          'Content-Type': 'application/json'
      },
      body: JSON.stringify({username: username, password: password})
  })
  

• 确认数据库内存储的用户密码是通过UserPasswordHasherInterface服务生成的哈希值，明文密码无法通过认证校验
• 如果是前后端分离无状态API场景，不要用默认的session持久化方案，需要在防火墙配置里加stateless: true，配合JWT等令牌方案做认证
• 如果需要自定义认证成功/失败的响应结构，不要在控制器内写判断，通过配置json_login下的success_handler、failure_handler自定义响应处理器即可。

内容的提问来源于stack exchange，提问作者Fabien