LexikJWTAuthenticationBundle获取token_storage用户始终为null的问题

我来帮你捋清楚这个问题——你遇到的情况其实是LexikJWTAuthenticationBundle默认行为导致的常见误区：它默认只会验证JWT签名的有效性，不会自动从你的用户提供者（FOSUser/LDAP）加载完整的User实体。这就是为什么你能解码token拿到用户名和角色，但security.token_storage里的User是null，isGranted校验也失败的核心原因。

下面分步骤帮你解决：

1. 核心原理：LexikJWT的认证流程 #

LexikJWT的默认JWT认证器（JWTTokenAuthenticator）在验证token合法后，只会把解码后的payload作为"用户"返回，不会主动去关联你的数据库/LDAP中的User对象。而Symfony的权限校验（isGranted）依赖于Token中关联的、实现了UserInterface的实体对象，所以才会出现权限校验失败的情况。

2. 关键配置修正：让LexikJWT自动加载User对象 #

你需要在security.yml中为你的API防火墙指定正确的user_provider，并确保认证器能使用这个提供者加载用户。

示例security.yml配置片段 #

security:
    # 定义你的用户提供者（FOSUser或LDAP，根据实际情况选择）
    providers:
        fos_user_provider:
            id: fos_user.user_provider.username_email
        ldap_user_provider:
            id: ldap_tools.security.user.provider

    firewalls:
        api:
            pattern: ^/api
            stateless: true # JWT是无状态认证，必须开启
            guard:
                authenticators:
                    # 使用LexikJWT的默认认证器
                    - lexik_jwt_authentication.security.guard.jwt_token_authenticator
                entry_point: lexik_jwt_authentication.security.guard.jwt_token_authenticator
            # 指定要使用的用户提供者，让认证器加载User实体
            user_provider: fos_user_provider # 换成你的LDAP提供者如果用LDAP
            # 配置用户校验器（比如FOSUser的禁用/过期校验）
            user_checker: fos_user.user_checker

同时，确保LexikJWT的配置中指定了正确的用户标识字段（和你生成token时用的字段一致）：

# config/packages/lexik_jwt_authentication.yaml
lexik_jwt_authentication:
    secret_key: '%env(resolve:JWT_SECRET_KEY)%'
    public_key: '%env(resolve:JWT_PUBLIC_KEY)%'
    pass_phrase: '%env(JWT_PASSPHRASE)%'
    user_identity_field: username # 如果用邮箱生成token，就改成email

3. 自定义认证器（可选，适用于复杂场景） #

如果你的认证逻辑需要额外处理（比如结合LDAP的二次校验），可以自定义一个Guard认证器，继承LexikJWT的默认认证器，重写getUser方法手动加载用户：

namespace App\Security;

use Lexik\Bundle\JWTAuthenticationBundle\Security\Guard\JWTTokenAuthenticator as BaseAuthenticator;
use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Core\User\UserInterface;

class CustomJWTAuthenticator extends BaseAuthenticator
{
    public function getUser($credentials, UserProviderInterface $userProvider): ?UserInterface
    {
        // $credentials是解码后的JWT payload数组
        $username = $credentials['username'];
        
        // 这里可以加入LDAP的额外校验逻辑（比如验证用户是否在LDAP中有效）
        // ...
        
        // 通过用户提供者加载User实体
        $user = $userProvider->loadUserByIdentifier($username);
        
        // 执行用户状态校验（比如是否禁用、过期）
        $this->userChecker->checkPostAuth($user);
        
        return $user;
    }
}

然后在security.yml中替换默认认证器为你自定义的类即可。

4. 验证权限校验的前提 #

确保你的User实体（FOSUser的User类）正确实现了UserInterface，并且getRoles方法返回正确的角色数组（比如['ROLE_USER']）。只有这样，isGranted('ROLE_USER')才能正确识别用户的权限。

关于认证失败处理器的注意事项 #

你的认证失败处理器只需要处理认证失败的场景（比如无效token、过期token），不要在其中修改正常认证流程的token注入逻辑，避免干扰User对象的加载。

内容的提问来源于stack exchange，提问作者Juan I. Morales Pestana