配置security.yaml后@IsGranted注解不生效的原因是什么？

问题根本原因 #

Symfony 安全组件的权限校验存在固定执行顺序，security.yaml中配置的access_control规则优先级远高于控制器的@IsGranted注解：请求会先匹配access_control规则，校验通过才会进入控制器执行注解层面的权限判断。你当前配置了全局路径^/要求ROLE_ADMIN权限，请求还没到控制器的注解逻辑就被拦截跳转到登录页，所以注解看起来未生效。

解决方案 #

方案1：调整权限控制方式，改用注解做全局权限管理 #

这种方式可以完全用注解控制所有权限规则，不需要再维护access_control的路径列表：

1. 删掉security.yaml中access_control下的全局规则：

   # 删掉这条配置
   - { path: ^/, roles: ROLE_ADMIN }
   

2. 在需要全局权限控制的控制器类上添加类级别的@IsGranted注解，类下所有方法默认继承该权限要求，需要匿名访问的方法单独加匿名权限注解覆盖即可，示例代码：

   /**
    * 类级别注解：所有方法默认需要ROLE_ADMIN权限
    * @IsGranted("ROLE_ADMIN")
    */
   class ExampleController extends AbstractController
   {
       /**
        * @Route("/example",name="app_example")
        * 方法级别注解：覆盖类级规则，允许匿名访问
        * @IsGranted("PUBLIC_ACCESS")
        */
       public function example(): RedirectResponse
       {
           /// 逻辑省略
       }
   }
   

方案2：保留全局access_control规则，仅对目标路径放行 #

如果不想改动现有全局权限配置，可以在access_control列表最顶部添加目标路径的放行规则（access_control是从上到下匹配，匹配到第一条就停止），让请求可以进入控制器执行注解判断：

access_control:
  # 放最顶部，优先级最高，放行目标路径到控制器层面做权限判断
  - { path: ^/example, roles: PUBLIC_ACCESS }
  - { path: ^/, roles: ROLE_ADMIN }

注意事项 #

• @IsGranted注解由sensio/framework-extra-bundle提供，使用前请确认项目已安装该依赖。
• Symfony 5.3及以上版本中IS_AUTHENTICATED_ANONYMOUSLY已被废弃，建议替换为PUBLIC_ACCESS使用。

内容的提问来源于stack exchange，提问作者Satoshi