在Symfony 5.3中实现JWT令牌验证与访问控制

security:
    enable_authenticator_manager: true # 启用新的认证管理器 (Symfony 5.3+)

    password_hashers:
        Symfony\Component\Security\Core\User\PasswordAuthenticatedUserInterface: 'auto'

    providers:
        # 这里可以使用in_memory，但在实际应用中通常是Doctrine实体用户提供者
        users_in_memory: { memory: null } 

    firewalls:
        dev:
            pattern: ^/(_(profiler|wdt)|css|images|js)/
            security: false # 开发工具和静态资源不进行安全检查

        main:
            guard:
                authenticators:
                    - App\Security\JwtAuthenticator # 指定自定义的JWT认证器
            lazy: true # 懒加载认证器
            provider: users_in_memory # 指定用户提供者
            stateless: true # 声明此防火墙是无状态的，不使用session

namespace App\Security;

use Doctrine\ORM\EntityManagerInterface;
use Symfony\Component\DependencyInjection\ParameterBag\ContainerBagInterface;
use Symfony\Component\HttpFoundation\JsonResponse;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Firebase\JWT\JWT;
use Symfony\Component\Security\Guard\AbstractGuardAuthenticator;

class JwtAuthenticator extends AbstractGuardAuthenticator
{
    private $em;
    private $params;

    public function __construct(EntityManagerInterface $em, ContainerBagInterface $params)
    {
        $this->em = $em;
        $this->params = $params;
    }

    /**
     * 当认证失败，且未提供凭据时调用。例如，请求未包含Authorization头。
     */
    public function start(Request $request, AuthenticationException $authException = null): JsonResponse
    {
        return new JsonResponse(['message' => 'Authentication Required'], Response::HTTP_UNAUTHORIZED);
    }

    /**
     * 判断当前请求是否需要此认证器处理。
     * 如果请求头中包含'Authorization'，则返回true。
     */
    public function supports(Request $request): bool
    {
        return $request->headers->has('Authorization');
    }

    /**
     * 从请求中提取认证凭据（即JWT）。
     */
    public function getCredentials(Request $request)
    {
        return $request->headers->get('Authorization');
    }

    /**
     * 根据凭据加载用户。
     * 在这里，我们解码JWT，并根据其中的'sub'（主题）字段从数据库中查找用户。
     */
    public function getUser($credentials, UserProviderInterface $userProvider)
    {
        try {
            // 移除'Bearer '前缀
            $token = str_replace('Bearer ', '', $credentials);
            // 解码JWT，需要提供密钥和算法
            $jwtData = (array) JWT::decode($token, $this->params->get('jwt_secret'), ['HS256']);

            // 从数据库中查找用户，假设'sub'字段存储用户ID
            // 注意：App:ATblUsers 是一个简化写法，实际应使用完整的实体类名
            return $this->em->getRepository('App\Entity\ATblUsers')->find($jwtData['sub']);
        } catch (\Exception $exception) {
            // JWT解码失败（如过期、签名无效）则抛出认证异常
            throw new AuthenticationException($exception->getMessage());
        }
    }

    /**
     * 检查凭据是否有效。
     * 对于JWT，通常在getUser方法中完成所有验证，此方法可以为空。
     */
    public function checkCredentials($credentials, UserInterface $user)
    {
        // JWT的验证通常在getUser中完成，这里可以留空或进行额外检查
        return true; 
    }

    /**
     * 认证失败时调用。
     */
    public function onAuthenticationFailure(Request $request, AuthenticationException $exception): JsonResponse
    {
        return new JsonResponse([
            'message' => $exception->getMessage()
        ], Response::HTTP_UNAUTHORIZED);
    }

    /**
     * 认证成功时调用。
     * 对于无状态API，通常无需做任何操作。
     */
    public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $providerKey)
    {
        return; // 返回null或空，表示继续处理请求
    }

    /**
     * 是否支持“记住我”功能。对于无状态API，通常返回false。
     */
    public function supportsRememberMe(): bool
    {
        return false;
    }
}

security:
    # ... (其他配置保持不变)

    access_control:
        # 允许所有用户访问 /authenticate 路径（登录接口）
        - { path: ^/authenticate, roles: PUBLIC_ACCESS }
        # 要求所有其他路径都必须完全认证 (IS_AUTHENTICATED_FULLY)
        - { path: ^/, roles: IS_AUTHENTICATED_FULLY }