Symfony3.3下FOS UserBundle防火墙指定允许角色配置咨询

当然可以实现啦！我帮你梳理下具体的配置方案，让管理员防火墙只对拥有ADMIN_ROLE的用户开放——普通用户就算输入正确的账号密码，也没法通过管理员登录入口进入后台。

1. 完整的security.yml防火墙配置示例 #

假设你的管理员后台路径是/admin/*，普通用户的业务路径是/user/*，你可以参考下面的完整配置：

security:
    encoders:
        FOS\UserBundle\Model\UserInterface: bcrypt

    role_hierarchy:
        ROLE_ADMIN:       ROLE_USER
        ROLE_SUPER_ADMIN: ROLE_ADMIN

    providers:
        fos_userbundle:
            id: fos_user.user_provider.username

    firewalls:
        # 管理员专属防火墙
        admin:
            pattern:            ^/admin
            form_login:
                provider:       fos_userbundle
                login_path:     admin_login
                check_path:     admin_login_check
                default_target_path: /admin/dashboard
                csrf_token_generator: security.csrf.token_manager
            logout:
                path:           admin_logout
                target:         admin_login
            anonymous:    true

        # 普通用户防火墙
        main:
            pattern:            ^/
            form_login:
                provider:       fos_userbundle
                login_path:     user_login
                check_path:     user_login_check
                default_target_path: /user/profile
                csrf_token_generator: security.csrf.token_manager
            logout:
                path:           user_logout
                target:         /
            anonymous:    true
            switch_user:        false

    access_control:
        # 关键：管理员登录校验接口，仅允许ADMIN_ROLE访问
        - { path: ^/admin/login_check, roles: ROLE_ADMIN }
        # 管理员后台所有页面，必须有ADMIN_ROLE才能访问
        - { path: ^/admin, roles: ROLE_ADMIN }
        # 普通用户登录页允许匿名访问
        - { path: ^/user/login, roles: IS_AUTHENTICATED_ANONYMOUSLY }
        # 普通用户业务区需要登录
        - { path: ^/user, roles: ROLE_USER }
        # 其他公共页面允许匿名
        - { path: ^/, roles: IS_AUTHENTICATED_ANONYMOUSLY }

2. 核心配置逻辑说明 #

• 给登录校验路径加角色锁：
  我在access_control里给管理员防火墙的check_path（也就是/admin/login_check）设置了ROLE_ADMIN限制。这样一来，当普通用户尝试通过管理员登录表单提交账号密码时，哪怕账号密码是对的，系统在完成账号密码校验后，会立刻检查用户是否拥有ROLE_ADMIN——没有的话直接返回认证失败（默认会显示"Bad credentials"，和你现在想要的效果一致）。

• 防火墙路径隔离：
  两个防火墙通过pattern字段明确划分了管辖范围，管理员防火墙只处理/admin开头的请求，普通用户防火墙处理剩下的请求，确保两个登录流程完全独立，不会互相干扰。

3. 自定义错误提示（可选） #

如果你觉得默认的"Bad credentials"不够明确，想改成“您没有访问管理员后台的权限”这类提示，可以自定义一个UserChecker来实现：

3.1 创建自定义UserChecker类 #

// src/AppBundle/Security/UserChecker.php
namespace AppBundle\Security;

use Symfony\Component\Security\Core\User\UserCheckerInterface;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\Security\Core\Exception\AccessDeniedException;
use Symfony\Component\HttpFoundation\Request;

class UserChecker implements UserCheckerInterface
{
    public function checkPreAuth(UserInterface $user)
    {
        // 这里可以提前检查用户状态，比如是否被禁用
    }

    public function checkPostAuth(UserInterface $user)
    {
        // 判断当前请求是否属于管理员防火墙的范围
        $request = Request::createFromGlobals();
        if (str_starts_with($request->getPathInfo(), '/admin')) {
            // 检查用户是否拥有管理员角色
            if (!$user->hasRole('ROLE_ADMIN')) {
                throw new AccessDeniedException('您没有访问管理员后台的权限');
            }
        }
    }
}

3.2 注册这个服务 #

在app/config/services.yml里添加：

services:
    app.security.user_checker:
        class: AppBundle\Security\UserChecker

3.3 配置Security使用这个检查器 #

在security.yml的根节点下添加：

security:
    # ...其他已有配置
    user_checker: app.security.user_checker

这样配置后，普通用户尝试登录管理员后台时，就会看到你自定义的权限提示了。

4. 验证效果 #

• 用拥有ROLE_ADMIN的账号访问/admin/login，正常登录后可以进入管理员后台；
• 用普通用户账号（只有ROLE_USER）访问/admin/login，输入正确账号密码后会被拒绝登录，返回你设置的错误提示。

内容的提问来源于stack exchange，提问作者Houssem Nouira