API Platform实现仅返回当前登录用户创建的Offer集合

你遇到的报错本质是对API Platform中security配置的作用域理解错了：

• 单条操作（itemOperations）下，object变量指向当前操作的单个实体实例，你配置的object.author == user规则在这里是有效的，可以拦截非作者访问单条Offer的请求。
• 集合操作（collectionOperations）下，security校验执行时拿到的object是整个分页结果对象（也就是报错信息里的Paginator实例），不是单个Offer实体，直接访问$author属性自然会抛出未定义属性的错误。

另外要明确：security配置只用来做权限准入判断，不能用来做集合结果的过滤——就算你在集合的security规则里遍历分页结果逐个校验作者，也会先查出全量的Offer数据再做判断，不仅性能差，还会导致分页计数、分页列表完全错乱，完全不适合用来实现“只返回当前用户数据”的需求。

第一步：修正实体的注解配置 #

把集合GET操作的security规则改成仅校验登录状态即可，单条操作的作者校验规则保留：

#[ORM\Entity(repositoryClass: OfferRepository::class)]
#[ApiResource(
    normalizationContext: [
        'groups' => ['read'],
    ],
    itemOperations: [
        'get' => [
            // 单条查询校验：只有Offer作者能访问详情
            'security' => 'object.author == user',
        ]
    ],
    collectionOperations: [
        'get' => [
            // 集合查询仅要求登录，过滤逻辑交给后续查询扩展实现
            'security' => 'is_granted("ROLE_USER")',
        ]
    ]
)]
class Offer
{
    // 原有实体属性、方法不变
}

第二步：添加Doctrine查询扩展实现自动过滤（官方推荐方案） #

API Platform原生支持自定义Doctrine查询扩展，会在生成集合查询SQL的时候自动追加过滤条件，性能和你直接写findBy(['author' => $this->getUser()])完全一致，而且全局自动生效，不需要在每个地方重复写判断。
在src/Doctrine/Extension目录下新建OfferOwnerExtension.php文件，代码如下：

<?php

namespace App\Doctrine\Extension;

use ApiPlatform\Doctrine\Orm\Extension\QueryCollectionExtensionInterface;
use ApiPlatform\Doctrine\Orm\Util\QueryNameGeneratorInterface;
use ApiPlatform\Metadata\Operation;
use App\Entity\Offer;
use Doctrine\ORM\QueryBuilder;
use Symfony\Component\Security\Core\Security;

class OfferOwnerExtension implements QueryCollectionExtensionInterface
{
    public function __construct(private readonly Security $security)
    {}

    public function applyToCollection(
        QueryBuilder $queryBuilder,
        QueryNameGeneratorInterface $queryNameGenerator,
        string $resourceClass,
        ?Operation $operation = null,
        array $context = []
    ): void
    {
        // 仅对Offer实体的集合GET查询生效，不影响其他接口和实体
        if ($resourceClass !== Offer::class || $operation?->getName() !== '_api_/offers{._format}_get_collection') {
            return;
        }

        $currentUser = $this->security->getUser();
        if (!$currentUser) {
            return;
        }

        // 追加查询条件：只查当前登录用户作为作者的Offer
        $rootAlias = $queryBuilder->getRootAliases()[0];
        $queryBuilder
            ->andWhere(sprintf('%s.author = :currentUser', $rootAlias))
            ->setParameter('currentUser', $currentUser);
    }
}

只要你开启了Symfony的自动装配、自动配置（默认都是开启的），这个类会自动被API Platform识别加载，不需要额外加配置。
配置完成后再请求/offers/接口，就会自动只返回当前登录用户创建的Offer，和你预期的findBy效果完全一致，非作者访问单条Offer详情也会正常返回403权限错误。

内容的提问来源于stack exchange，提问作者Ownagin