API Platform如何编程判断并禁止已归档Report实体的更新操作

最优实现方案：Doctrine 事件订阅器（Subscriber） #

你提到的三个方案里，事件订阅器是最适合的选择，原因如下：

三个可选方案的优劣势对比 #

• 自定义控制器：仅能拦截走指定控制器的更新请求，无法覆盖控制台命令、其他服务直接调用实体管理器更新、第三方接口操作等所有更新入口，容易出现校验遗漏，后续新增操作入口时还需要重复写校验逻辑，维护成本极高。
• 验证组：属于请求/表单层的校验逻辑，仅对走了验证流程的请求生效，业务代码内部直接修改实体属性并持久化的操作完全不会触发校验，同样存在遗漏风险，且验证组的设计定位是处理不同场景的字段校验规则，用来拦截特定状态的实体更新逻辑边界不匹配。
• 监听器/订阅器：基于Doctrine的preUpdate事件实现的校验会在所有实体更新持久化前触发，不管上层操作入口是什么，只要是通过实体管理器执行的更新操作都会被拦截，校验逻辑统一收敛在一处，后续修改规则只需要调整订阅器代码即可，符合开闭原则，没有遗漏风险。

事件订阅器实现参考 #

// App\EventSubscriber\ReportArchivedBlockSubscriber
namespace App\EventSubscriber;

use App\Entity\Report;
use Doctrine\Common\EventSubscriber;
use Doctrine\ORM\Event\PreUpdateEventArgs;
use Doctrine\ORM\Events;
use Symfony\Component\HttpKernel\Exception\AccessDeniedHttpException;

class ReportArchivedBlockSubscriber implements EventSubscriber
{
    public function getSubscribedEvents(): array
    {
        return [
            Events::preUpdate,
        ];
    }

    public function preUpdate(PreUpdateEventArgs $args): void
    {
        $entity = $args->getObject();
        if (!$entity instanceof Report) {
            return;
        }

        // 实体当前已经是归档状态，直接禁止所有更新
        if ($entity->getStatus() === Report::STATUS_ARCHIVED) {
            throw new AccessDeniedHttpException('归档状态的报告不允许修改');
        }
    }
}

如果你的项目不是Symfony框架，只需要按照对应框架的Doctrine事件注册方式配置即可。

其他可选补充方案 #

你还可以根据业务场景选择以下方案搭配使用：

1. 领域层兜底校验：在Report实体内部新增更新前的校验方法，所有业务代码修改实体前主动调用校验，比如：

   class Report
   {
       // 原有代码省略
       public function guardAllowModify(): void
       {
           if ($this->status === self::STATUS_ARCHIVED) {
               throw new \DomainException('归档报告不可修改');
           }
       }
   }
   

   可以在事件订阅器拦截的基础上，更早的抛出异常，避免无效的业务逻辑执行。
2. 数据库触发器兜底：在数据库层面新增UPDATE触发器，当旧数据的status = 3时直接拒绝更新操作，作为应用层逻辑漏写后的最后一道防线，不过不建议单独使用，排查问题时容易忽略数据库层的逻辑。
3. 状态机组件：如果Report的状态流转本身就比较复杂，推荐使用状态机组件（比如Symfony Workflow）定义所有允许的状态流转路径，天然就可以禁止归档状态下的所有属性变更，后续扩展状态规则也更方便。

内容的提问来源于stack exchange，提问作者Daniel P