Symfony4：无需UserProvider返回哈希数据，通过API验证账号的疑问

Symfony的安全模块设计得相当灵活，完全能满足你这种“委托外部API校验登录凭证”的需求——不需要让UserProvider返回哈希密码或盐值，直接把表单提交的用户名和密码发给API，由API判断合法性即可。下面给你介绍最常用的实现方式：

方法一：使用Guard认证组件（推荐） #

Guard是Symfony里处理自定义认证逻辑的利器，非常适合这种外部API校验的场景。步骤如下：

1. 创建Guard认证器类 #

这个类会负责从请求中获取凭证、调用API校验、返回用户对象等核心逻辑：

// src/Security/ApiLoginAuthenticator.php
namespace App\Security;

use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Guard\AbstractGuardAuthenticator;
use Symfony\Component\HttpFoundation\RedirectResponse;
use Symfony\Component\Routing\RouterInterface;
use GuzzleHttp\Client;

class ApiLoginAuthenticator extends AbstractGuardAuthenticator
{
    private $router;
    private $apiClient;

    public function __construct(RouterInterface $router, Client $apiClient)
    {
        $this->router = $router;
        $this->apiClient = $apiClient;
    }

    // 指定这个认证器处理哪些请求（这里匹配登录POST请求）
    public function supports(Request $request)
    {
        return $request->attributes->get('_route') === 'login' && $request->isMethod('POST');
    }

    // 从登录表单中提取用户名和密码
    public function getCredentials(Request $request)
    {
        return [
            'username' => $request->request->get('_username'),
            'password' => $request->request->get('_password'),
        ];
    }

    // 返回自定义User对象（不需要从本地数据库获取）
    public function getUser($credentials, UserProviderInterface $userProvider)
    {
        // 这里直接创建一个实现UserInterface的匿名类，只需要用户名和角色
        return new class($credentials['username']) implements UserInterface {
            private $username;

            public function __construct(string $username)
            {
                $this->username = $username;
            }

            public function getRoles()
            {
                // 可以从API获取用户角色，这里先默认返回ROLE_USER
                return ['ROLE_USER'];
            }

            public function getPassword()
            {
                // 密码已经由API校验，这里返回null即可
                return null;
            }

            public function getSalt()
            {
                return null;
            }

            public function getUsername()
            {
                return $this->username;
            }

            public function eraseCredentials()
            {
                // 清空敏感数据，这里没有需要清理的内容
            }
        };
    }

    // 核心逻辑：调用API校验用户名密码是否合法
    public function checkCredentials($credentials, UserInterface $user)
    {
        try {
            $response = $this->apiClient->post('/auth/validate', [
                'json' => [
                    'username' => $credentials['username'],
                    'password' => $credentials['password'],
                ]
            ]);

            // 假设API返回200状态码表示校验成功
            return $response->getStatusCode() === 200;
        } catch (\Exception $e) {
            // 捕获API请求异常，直接返回校验失败
            return false;
        }
    }

    // 认证成功后跳转到首页
    public function onAuthenticationSuccess(Request $request, TokenInterface $token, $providerKey)
    {
        return new RedirectResponse($this->router->generate('home'));
    }

    // 认证失败后返回登录页并提示错误
    public function onAuthenticationFailure(Request $request, AuthenticationException $exception)
    {
        $request->getSession()->set('security.login_error', $exception->getMessageKey());
        return new RedirectResponse($this->router->generate('login'));
    }

    // 未登录用户访问受保护页面时，跳转到登录页
    public function start(Request $request, AuthenticationException $authException = null)
    {
        return new RedirectResponse($this->router->generate('login'));
    }

    // 是否开启“记住我”功能，根据需求设置
    public function supportsRememberMe()
    {
        return false;
    }
}

2. 配置Security.yaml #

需要指定Guard认证器，同时因为Symfony要求必须配置UserProvider，我们可以创建一个“占位”的DummyProvider：

# config/packages/security.yaml
security:
    providers:
        dummy_provider:
            id: App\Security\DummyUserProvider

    firewalls:
        main:
            anonymous: true
            guard:
                authenticators:
                    - App\Security\ApiLoginAuthenticator
            logout:
                path: logout
                target: login

    access_control:
        - { path: ^/login, roles: IS_AUTHENTICATED_ANONYMOUSLY }
        - { path: ^/, roles: ROLE_USER }

3. 创建DummyUserProvider #

这个Provider只是满足Symfony的配置要求，实际不会用来加载用户：

// src/Security/DummyUserProvider.php
namespace App\Security;

use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\Security\Core\Exception\UsernameNotFoundException;

class DummyUserProvider implements UserProviderInterface
{
    public function loadUserByUsername($username)
    {
        // 实际不会调用这个方法，直接抛出异常即可
        throw new UsernameNotFoundException("User not found in dummy provider");
    }

    public function refreshUser(UserInterface $user)
    {
        // 直接返回原用户对象
        return $user;
    }

    public function supportsClass($class)
    {
        // 匹配我们创建的匿名User类
        return is_subclass_of($class, UserInterface::class);
    }
}

关键说明 #

• 核心逻辑在checkCredentials()方法里：这里完全委托外部API校验密码，Symfony只需要接收API返回的结果即可。
• 如果需要获取用户的角色、权限等信息，可以在getUser()或checkCredentials()中额外调用API获取，然后填充到User对象里。
• 这种方式完全绕开了Symfony本地的密码校验逻辑，所有凭证验证都由你的API完成。

内容的提问来源于stack exchange，提问作者NanoPish