Symfony 2.8中如何在Action中覆盖控制器级@PreAuthorize权限控制

嘿，这个场景我之前在Symfony 2.8项目里碰到过，用JMSSecurityExtraBundle实现类级别的权限控制后，要给单个Action取消限制其实很简单，只需要在目标Action上添加覆盖类注解的权限配置就行：

你只需要在想要开放的Action方法上，加上@PreAuthorize("permitAll()")注解，它会直接覆盖控制器类上的@PreAuthorize("hasRole('ROLE_USER')")配置，让这个Action对所有用户（包括匿名用户）开放。

给你个具体的代码示例：

use JMS\SecurityExtraBundle\Annotation\PreAuthorize;
use Symfony\Bundle\FrameworkBundle\Controller\Controller;

/**
 * 整个控制器默认需要ROLE_USER权限
 * @PreAuthorize("hasRole('ROLE_USER')")
 */
class YourDemoController extends Controller
{
    // 这个Action会继承类的权限要求，必须是ROLE_USER才能访问
    public function userOnlyAction()
    {
        return $this->render('some/template.html.twig');
    }

    // 这个Action取消了权限控制，所有人都能访问
    /**
     * @PreAuthorize("permitAll()")
     */
    public function publicAction()
    {
        return $this->render('public/template.html.twig');
    }
}

另外补充一点：如果你不是想完全开放，而是想给特定角色/用户开放，也可以写更精准的表达式，比如@PreAuthorize("isAnonymous() or hasRole('ROLE_GUEST')")，但如果是要彻底取消类级别的权限限制，permitAll()就是最直接的方式。

内容的提问来源于stack exchange，提问作者Kim