Symfony自定义Guard验证器实现带角色匿名认证及AnonymousToken secret获取问题

AnonymousToken的secret参数是什么 #

这个secret是Symfony Security组件为每个独立防火墙单独生成的随机私有值，作用是校验匿名令牌的合法性，确保令牌是当前应用的对应防火墙生成，避免跨应用/跨防火墙的伪造令牌风险。它和全局的%kernel.secret%没有关联，在容器编译阶段自动生成，存储为对应防火墙的私有服务参数。

注入secret到Authenticator的方法 #

如果你需要继续使用AnonymousToken实现需求，可以通过如下方式注入对应防火墙的secret：

1. 首先确认你当前配置的防火墙名称（假设为client，可在config/packages/security.yaml的firewalls节点下查看）
2. 在服务配置中为你的Authenticator注入对应参数：

# config/services.yaml
App\Security\ClientAuthenticator:
    arguments:
        $anonymousSecret: '%security.authentication.listener.anonymous.client.secret%'

3. 在Authenticator中添加构造方法接收该参数即可直接使用：

class ClientAuthenticator extends AbstractGuardAuthenticator
{
    private $anonymousSecret;

    public function __construct(string $anonymousSecret)
    {
        $this->anonymousSecret = $anonymousSecret;
    }

    public function createAuthenticatedToken(UserInterface $user, $providerKey)
    {
        return new AnonymousToken(
            $this->anonymousSecret,
            'anon.',
            ['ROLE_CLIENT_GUEST']
        );
    }
}

更优实现方案 #

你的场景完全不需要强依赖AnonymousToken，直接使用Guard认证原生提供的PostAuthenticationGuardToken即可实现相同效果，无需额外注入任何参数，符合Guard的设计规范：

use Symfony\Component\Security\Guard\Token\PostAuthenticationGuardToken;

public function createAuthenticatedToken(UserInterface $user, $providerKey)
{
    return new PostAuthenticationGuardToken(
        $user,
        $providerKey,
        ['ROLE_CLIENT_GUEST']
    );
}

该令牌和你当前使用的AnonymousToken行为一致，都会被Security组件识别为已认证身份，且携带你指定的角色权限，实现成本更低。

内容的提问来源于stack exchange，提问作者amacrobert