Symfony中如何查询指定URL对应的允许访问角色列表？

以下为Symfony 5/6/7版本下的两种可行实现方案：

方案1：直接使用内置AccessMap服务（推荐） #

Symfony安全组件已原生封装了访问规则匹配逻辑，无需自行解析配置，和框架原生安全校验逻辑完全一致，适配所有security.yml中配置的规则限制：

• 首先在事件监听器中注入Symfony\Component\Security\Http\AccessMapInterface服务
• 调用getPatterns()方法即可直接匹配请求对应的允许角色

use Symfony\Component\EventDispatcher\EventSubscriberInterface;
use Symfony\Component\HttpKernel\Event\RequestEvent;
use Symfony\Component\HttpKernel\KernelEvents;
use Symfony\Component\Security\Http\AccessMapInterface;

class AccessRoleListener implements EventSubscriberInterface
{
    public function __construct(
        private AccessMapInterface $accessMap
    ) {}

    public function onKernelRequest(RequestEvent $event): void
    {
        $request = $event->getRequest();
        // 返回格式：[允许的角色数组, 通道要求（http/https/null）]
        [$allowedRoles, $channel] = $this->accessMap->getPatterns($request);
        
        // 未匹配到规则时返回空数组
        if ($allowedRoles) {
            // 你的业务逻辑，比如自定义校验、日志记录等
            var_dump($allowedRoles);
        }
    }

    public static function getSubscribedEvents(): array
    {
        return [
            // 优先级设为高于FirewallListener，可在框架安全校验前拿到规则
            KernelEvents::REQUEST => ['onKernelRequest', 10],
        ];
    }
}

方案2：手动解析security配置（适合自定义规则场景） #

如果需要对规则做二次加工，可以直接读取配置节点自行实现匹配逻辑：

• 注入Symfony\Component\DependencyInjection\ParameterBag\ParameterBagInterface服务
• 获取security.access_control配置项，遍历匹配当前请求的路径、方法、IP等属性

use Symfony\Component\DependencyInjection\ParameterBag\ParameterBagInterface;
use Symfony\Component\HttpFoundation\Request;

class AccessRuleParser
{
    public function __construct(
        private ParameterBagInterface $parameterBag
    ) {}

    public function getAllowedRolesForRequest(Request $request): array
    {
        $accessRules = $this->parameterBag->get('security.access_control');
        $requestPath = $request->getPathInfo();
        $requestMethod = $request->getMethod();

        foreach ($accessRules as $rule) {
            // 路径正则匹配
            if (!preg_match($rule['path'], $requestPath)) {
                continue;
            }
            // 请求方法匹配（规则未配置methods时跳过校验）
            if (isset($rule['methods']) && !in_array($requestMethod, $rule['methods'])) {
                continue;
            }
            // IP匹配（按需开启）
            // if (isset($rule['ips']) && !in_array($request->getClientIp(), $rule['ips'])) {
            //     continue;
            // }
            // 按框架逻辑命中第一条规则即返回
            return $rule['roles'];
        }

        return [];
    }
}

注意事项 #

• access_control规则为从上到下匹配，命中第一条即终止，手动解析时需保持相同遍历顺序，避免和原生逻辑不一致
• 如果规则使用了表达式（比如is_granted("ROLE_ADMIN")），方案1返回的结果会包含表达式字符串，需要结合ExpressionLanguage组件自行解析才能拿到具体角色

内容的提问来源于stack exchange，提问作者Karim Mtl