Symfony 3.4项目ROLE_EXPL访问/admin/stats返回403错误调试求助

直接根因 #

你当前的security.yaml中access_control配置是从上到下匹配生效的，第一条规则^/admin要求所有/admin开头的路径必须持有ROLE_ADMIN角色，这是ROLE_EXPL用户访问/admin/stats报403的核心原因。

调试&修改方向 #

• 优先调整access_control的匹配顺序
  给/admin/stats单独加一条权限规则，放在通用^/admin规则之前，优先匹配该路径，示例配置如下：

  access_control:
      # 单独给stats路径开权限，放在最前面
      - { path: ^/admin/stats, roles: [ROLE_ADMIN, ROLE_EXPL], requires_channel: '%https%' }
      # 原有admin通用规则往后放
      - { path: ^/admin, roles: ROLE_ADMIN, requires_channel: '%https%' }
      # 其余原有规则保持不变
  

  如果希望后续ROLE_ADMIN自动继承所有ROLE_EXPL的权限，可以同步修改角色层级配置，减少重复配置：

  role_hierarchy:
      ROLE_PASS:           ROLE_USER
      ROLE_EXPL:           ROLE_USER
      ROLE_ADMIN:          [ROLE_USER, ROLE_EXPL]
  

  改完角色层级后，stats路径的规则可以简化成只写roles: ROLE_EXPL，ADMIN用户自动拥有访问权限。
• 验证用户角色赋值是否正确
  在dev环境下打开调试工具栏，查看当前登录用户的实际角色列表，确认ROLE_EXPL角色确实被正确赋予给了测试账号，避免是用户角色存储、赋值逻辑出错导致的权限不生效。
• 检查控制器层的额外权限校验
  查看/admin/stats对应的控制器方法，是否有@IsGranted注解，或者方法内部手动调用了denyAccessUnlessGranted方法做权限判断，这部分的权限校验优先级高于security.yaml的全局配置，如果有需要同步修改权限要求。
• 排查自定义权限逻辑
  确认项目是否实现了自定义Voter投票器，对/admin路径的权限做了额外的动态判断，如果有需要对应调整Voter的逻辑，允许ROLE_EXPL角色访问stats路径。

生效验证 #

所有配置修改完成后，需要清空Symfony缓存才能生效，执行命令：
php bin/console cache:clear
如果是生产环境需要加参数：php bin/console cache:clear --env=prod --no-debug
然后再用ROLE_EXPL账号测试访问即可。

内容的提问来源于stack exchange，提问作者LeeTee