Symfony：如何同时使用自定义认证器与LDAP表单登录？

核心结论 #

可以实现「多种认证方式依次尝试」的逻辑，但不能直接在防火墙中同时配置custom_authenticator和form_login_ldap——Symfony防火墙默认会优先使用自定义认证器，一旦设置了custom_authenticator，传统的表单登录（包括LDAP表单登录）会被忽略，这就是你遇到LDAP认证失效的原因。

解决方案：转为认证器链实现 fallback 逻辑 #

要让两种认证方式按顺序尝试，需要把LDAP表单登录也转为自定义认证器，然后通过authenticators数组配置链式认证。

步骤1：修改防火墙配置 #

替换原有的custom_authenticator和form_login_ldap配置，改用authenticators数组，并指定链式用户提供者：

# config/packages/security.yaml
security:
    # ... 保留原有providers、password_hashers、access_control配置 ...

    firewalls:
        main:
            # 使用链式提供者，同时支持本地和LDAP用户
            provider: all_users
            # 按顺序尝试认证器，第一个失败则试第二个
            authenticators:
                - App\Security\LocalAuth # 你的自定义本地认证器
                - App\Security\LdapFormAuthenticator # 新增的LDAP表单认证器

            logout:
                path: /logout
                target: /

            remember_me:
                path: /
                lifetime: 604800
                secret: '%kernel.secret%'
                always_remember_me: true

步骤2：创建LDAP表单自定义认证器 #

把原form_login_ldap的逻辑封装成自定义认证器类：

// src/Security/LdapFormAuthenticator.php
namespace App\Security;

use Symfony\Component\HttpFoundation\RedirectResponse;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Ldap\LdapInterface;
use Symfony\Component\Routing\Generator\UrlGeneratorInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Http\Authenticator\AbstractLoginFormAuthenticator;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\CsrfTokenBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Credentials\LdapCredentials;
use Symfony\Component\Security\Http\Authenticator\Passport\Passport;
use Symfony\Component\Security\Http\Util\TargetPathTrait;

class LdapFormAuthenticator extends AbstractLoginFormAuthenticator
{
    use TargetPathTrait;

    public const LOGIN_ROUTE = 'login';

    public function __construct(
        private UrlGeneratorInterface $urlGenerator,
        private LdapInterface $ldap,
        private string $ldapDnString
    ) {}

    public function authenticate(Request $request): Passport
    {
        $username = $request->request->get('_username', '');
        $password = $request->request->get('_password', '');

        return new Passport(
            new UserBadge($username),
            new LdapCredentials($password, $this->ldap, $this->ldapDnString),
            [new CsrfTokenBadge('authenticate', $request->request->get('_csrf_token'))]
        );
    }

    public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewallName): ?Response
    {
        if ($targetPath = $this->getTargetPath($request->getSession(), $firewallName)) {
            return new RedirectResponse($targetPath);
        }
        return new RedirectResponse($this->urlGenerator->generate('home'));
    }

    protected function getLoginUrl(Request $request): string
    {
        return $this->urlGenerator->generate(self::LOGIN_ROUTE);
    }
}

步骤3：注入LDAP认证器依赖 #

在services.yaml中配置LDAP服务和DN字符串参数：

# config/services.yaml
services:
    App\Security\LdapFormAuthenticator:
        arguments:
            $ldap: '@Symfony\Component\Ldap\Ldap'
            $ldapDnString: '%env(LDAP_SRCH)%'

关键细节说明 #

• 认证顺序：authenticators数组的顺序就是尝试顺序，只要某个认证器验证成功，后续的就不会执行；所有认证器都失败时，才会返回登录错误。
• 表单兼容性：原登录表单无需修改，认证器复用了标准字段_username、_password、_csrf_token。
• 链式提供者：必须使用all_users链式提供者，确保两种认证方式都能找到对应的用户实体。

内容的提问来源于stack exchange，提问作者Aleksov