Symfony 4中能否修改has_role()与is_granted()方法实现自动授权？

嘿，我懂你现在的困扰——每次在控制器的Security注解和Twig模板里都要重复写那两个角色的权限检查，确实有点啰嗦。下面给你几个实用的方案来简化这个操作，让你不用再重复敲相同的代码：

方案1：自定义权限Voter（推荐方案） #

这是Symfony官方最推荐的规范做法，你可以把这两个角色的组合权限封装成一个自定义的权限标识，比如CAN_EDIT_BODYSHOP_PARTNER，之后不管在控制器还是Twig里，只用这个标识就能完成权限检查。

步骤1：生成自定义Voter类 #

用Symfony的命令行工具快速生成一个Voter：

php bin/console make:voter BodyShopPartnerEditVoter

步骤2：实现Voter的权限逻辑 #

打开生成的BodyShopPartnerEditVoter.php文件，修改其中的逻辑，让它判断用户是否拥有指定的两个角色之一：

// src/Security/BodyShopPartnerEditVoter.php
namespace App\Security;

use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Authorization\Voter\Voter;
use Symfony\Component\Security\Core\User\UserInterface;

class BodyShopPartnerEditVoter extends Voter
{
    // 定义自定义的权限标识
    public const EDIT = 'CAN_EDIT_BODYSHOP_PARTNER';

    protected function supports(string $attribute, mixed $subject): bool
    {
        // 只处理我们自定义的这个权限标识
        return $attribute === self::EDIT;
    }

    protected function voteOnAttribute(string $attribute, mixed $subject, TokenInterface $token): bool
    {
        $user = $token->getUser();
        // 用户未登录直接拒绝访问
        if (!$user instanceof UserInterface) {
            return false;
        }

        // 检查用户是否拥有两个角色中的任意一个
        return in_array('ROLE_ADMIN', $user->getRoles()) 
            || in_array('ROLE_BODYSHOP_HANDLER_PARTNER_EDIT', $user->getRoles());
    }
}

步骤3：在控制器中使用自定义权限 #

现在控制器里的Security注解可以简化成这样：

/**
 * @Route("/form/partners/{id}/{formState}", name="bodyshopPartnerEdit")
 * @Security("is_granted('CAN_EDIT_BODYSHOP_PARTNER')")
 */
public function editPartner(Request $request, EntityManagerInterface $em)
{
    // ... 你的控制器业务逻辑
}

步骤4：在Twig模板中使用自定义权限 #

Twig里的权限判断也能同步简化：

{% if is_granted('CAN_EDIT_BODYSHOP_PARTNER') %}
    <!-- 这里放需要权限控制的内容，比如编辑按钮、表单等 -->
{% endif %}

方案2：利用角色层级定义别名（适合简单场景） #

如果你的权限逻辑就是简单的角色组合，不想写Voter，也可以在Symfony的安全配置里给这个角色组合定义一个别名：

打开config/packages/security.yaml，添加角色层级配置：

security:
    role_hierarchy:
        # 定义一个新的角色，包含需要的两个角色
        ROLE_BODYSHOP_PARTNER_EDITOR:
            - ROLE_BODYSHOP_HANDLER_PARTNER_EDIT
            - ROLE_ADMIN

注意：角色层级是单向继承的，也就是说拥有ROLE_BODYSHOP_PARTNER_EDITOR的用户会自动拥有下面的两个角色，但反过来，拥有ROLE_ADMIN的用户不会自动获得ROLE_BODYSHOP_PARTNER_EDITOR，这点要留意。

之后控制器里的注解可以改成：

@Security("has_role('ROLE_BODYSHOP_PARTNER_EDITOR')")

Twig模板里的判断改成：

{% if is_granted('ROLE_BODYSHOP_PARTNER_EDITOR') %}

这个方案的优点是配置简单，缺点是灵活性不如Voter，没法处理结合实体对象的复杂权限逻辑。

方案3：自定义Twig函数和控制器助手（不推荐） #

如果你不想用上面两种方法，也可以自定义Twig函数和控制器的私有方法来封装权限检查，但这个方案不够规范，而且没法在Security注解里直接使用，所以只做参考：

自定义Twig函数 #

创建一个Twig扩展类：

// src/Twig/BodyShopPermissionExtension.php
namespace App\Twig;

use Twig\Extension\AbstractExtension;
use Twig\TwigFunction;
use Symfony\Component\Security\Core\Security;

class BodyShopPermissionExtension extends AbstractExtension
{
    public function __construct(private Security $security) {}

    public function getFunctions(): array
    {
        return [
            new TwigFunction('can_edit_bodyshop_partner', [$this, 'checkEditPermission']),
        ];
    }

    public function checkEditPermission(): bool
    {
        return $this->security->isGranted('ROLE_ADMIN') 
            || $this->security->isGranted('ROLE_BODYSHOP_HANDLER_PARTNER_EDIT');
    }
}

然后在Twig里直接调用这个函数：

{% if can_edit_bodyshop_partner() %}
    <!-- 权限控制内容 -->
{% endif %}

控制器助手方法 #

在你的控制器里定义一个私有方法：

private function canEditBodyShopPartner(): bool
{
    return $this->isGranted('ROLE_ADMIN') 
        || $this->isGranted('ROLE_BODYSHOP_HANDLER_PARTNER_EDIT');
}

在控制器方法里可以这样用：

if (!$this->canEditBodyShopPartner()) {
    throw $this->createAccessDeniedException();
}

内容的提问来源于stack exchange，提问作者Alexandre Corvino