Symfony 3：判断用户是否通过Remember Me认证并限制角色访问

我明白你的需求：只让User角色的用户能通过Remember Me Cookie自动登录，Admin角色即使用了Remember Me，关闭浏览器后再通过收藏链接访问也得被拦截。核心就是要判断用户是不是通过Remember Me机制完成的认证，再结合角色做限制，下面是具体的实现步骤：

1. 创建事件监听器拦截请求 #

我们需要监听kernel.request事件（每个请求进来都会触发），在请求处理前检查用户的认证方式和角色：

创建AppBundle\EventListener\RememberMeListener.php文件，代码如下：

<?php

namespace AppBundle\EventListener;

use Symfony\Component\HttpKernel\Event\GetResponseEvent;
use Symfony\Component\Security\Core\Authentication\Token\RememberMeToken;
use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorageInterface;
use Symfony\Component\Routing\RouterInterface;
use Symfony\Component\HttpFoundation\RedirectResponse;

class RememberMeListener
{
    private $tokenStorage;
    private $router;

    public function __construct(TokenStorageInterface $tokenStorage, RouterInterface $router)
    {
        $this->tokenStorage = $tokenStorage;
        $this->router = $router;
    }

    public function onKernelRequest(GetResponseEvent $event)
    {
        // 只处理主请求，忽略子请求（比如嵌入的控制器请求）
        if (!$event->isMasterRequest()) {
            return;
        }

        $token = $this->tokenStorage->getToken();

        // 关键判断：如果当前认证token是RememberMeToken，且用户拥有Admin角色
        if ($token instanceof RememberMeToken && $token->getUser()->hasRole('ROLE_ADMIN')) {
            // 清除认证token，让用户退出登录状态
            $this->tokenStorage->setToken(null);
            // 重定向到登录页面（这里的`login`是你项目中登录路由的名称）
            $response = new RedirectResponse($this->router->generate('login'));
            $event->setResponse($response);
        }
    }
}

2. 注册监听器到服务容器 #

在app/config/services.yml中添加监听器的配置：

services:
    app.remember_me_listener:
        class: AppBundle\EventListener\RememberMeListener
        arguments: ['@security.token_storage', '@router']
        tags:
            - { name: kernel.event_listener, event: kernel.request, method: onKernelRequest }

3. 原理说明 #

• Symfony中，通过Remember Me自动登录的用户，其认证token类型是RememberMeToken，而正常手动登录的用户token是UsernamePasswordToken，我们就是靠这个类型区分认证方式。
• 监听器在每个请求进来时检查：如果是Remember Me登录的Admin用户，就清除其认证状态并重定向到登录页，阻止他们通过收藏链接自动访问。
• User角色的用户通过Remember Me登录时，因为不满足hasRole('ROLE_ADMIN')的条件，所以能正常访问应用。

这样配置后，你可以测试一下：Admin用户勾选Remember Me登录，关闭浏览器后打开收藏的首页链接，就会被强制跳转到登录页；而User角色用户做同样操作则能正常进入应用，完全符合你的需求。

内容的提问来源于stack exchange，提问作者Dhananjay