Symfony4下ApiPlatform+JwtAuthenticationBundle配置Swagger权限问题

看起来你遇到的核心问题是Swagger相关的API文档路径被安全规则拦截，导致未登录状态下连Swagger界面都进不去，更没法用它的Authorize功能获取和携带JWT令牌。咱们一步步来修复：

问题根源分析 #

你的access_control规则里设置了：

- { path: ^/api, roles: IS_AUTHENTICATED_FULLY }

这条规则会匹配所有以/api开头的路径，包括ApiPlatform生成的Swagger页面（默认是/api/docs）和OpenAPI规范文件（/api/docs.json）。这些资源需要允许匿名用户访问，否则你连Swagger界面都打不开，根本没法进行后续的登录授权操作。

解决方案：调整安全控制规则 #

修改security.yaml里的access_control部分，给Swagger相关路径单独开匿名访问权限，同时保护其他API接口：

access_control:
    - { path: ^/api/login, roles: IS_AUTHENTICATED_ANONYMOUSLY }
    # 允许匿名访问Swagger文档页面和规范文件
    - { path: ^/api/docs, roles: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/api/docs.json, roles: IS_AUTHENTICATED_ANONYMOUSLY }
    # 其他所有/api路径需要完整认证
    - { path: ^/api, roles: IS_AUTHENTICATED_FULLY }

额外验证点 #

1. 确认ApiPlatform的Swagger配置正确
   你的api_platform.yaml里的swagger配置是对的，确保Authorization头能被Swagger识别：

   swagger:
     api_keys:
       - { name: 'Authorization', type: 'header' }
   

   这样在Swagger界面点击「Authorize」按钮时，就能输入Bearer <你的JWT令牌>来携带认证信息。

2. 验证登录端点是否正常工作
   先通过Postman或curl测试POST /api/login_check，发送_username和_password参数，确认能返回有效的JWT令牌：

   curl -X POST http://your-domain/api/login_check \
     -H "Content-Type: application/json" \
     -d '{"_username":"your-username","_password":"your-password"}'
   

   如果这个端点能正常返回token，说明JWT的基础配置是没问题的。

3. 检查防火墙规则顺序
   防火墙的顺序很重要，login防火墙要放在main前面，因为匹配是从上到下的，确保登录请求先走login防火墙的规则，你当前的配置这部分是正确的。

为什么你之前的临时修改能生效？ #

当你把规则改成- { path: ^/, roles: [ IS_AUTHENTICATED_ANONYMOUSLY ] }时，所有路径都允许匿名访问，包括Swagger和API接口，自然能打开界面，但这会导致你的API接口失去保护，显然不是正确的做法。

内容的提问来源于stack exchange，提问作者MatMouth