Аутентификация в Symfony 7: пошаговая инструкция

В конце вы получите работающий вход на сайт: пользователь заходит на /login, вводит email и пароль, попадает на защищённую страницу, а без входа его туда не пускают. Разберём это на Symfony 7.x с новой системой аутентификаторов (Security компонент версии 7.x, устаревшая система Guard из статьи исключена — она удалена ещё в Symfony 6). Времени на всё — около часа, если проект уже развёрнут.

Что нужно иметь до начала

• PHP 8.2 или новее — минимальное требование Symfony 7.x;
• Composer и установленный проект Symfony (symfony new my_app --webapp или существующий);
• настроенное подключение к базе данных в .env (переменная DATABASE_URL) и запущенная СУБД — примеры даны под Doctrine ORM;
• установленный symfony/maker-bundle в dev-зависимостях — он сгенерирует бо́льшую часть кода.

Проверьте версию: php bin/console --version должна показать Symfony 7.x. Если её нет, дальше синтаксис атрибутов и конфигов может отличаться.

Шаг 1. Ставим нужные пакеты

Security-компонент и maker-bundle ставятся отдельными пакетами:

composer require symfony/security-bundle
composer require --dev symfony/maker-bundle

После установки в config/packages/ появится файл security.yaml. Это и есть центр настройки. Проверка: команда php bin/console debug:config security выводит конфигурацию без ошибок.

Шаг 2. Создаём сущность User

Symfony ждёт класс, реализующий UserInterface и PasswordAuthenticatedUserInterface. Maker сделает его сам и правильно:

php bin/console make:user

Команда задаст четыре вопроса:

• имя класса — оставьте User;
• хранить ли в базе через Doctrine — ответьте yes;
• поле-идентификатор для входа — введите email;
• нужно ли хешировать пароли — ответьте yes.

В результате появится src/Entity/User.php с полями email, roles, password и методами getUserIdentifier(), getRoles(), getPassword(). В security.yaml автоматически пропишется секция password_hashers и провайдер пользователей на основе сущности.

Проверка: откройте src/Entity/User.php — метод getUserIdentifier() должен возвращать $this->email.

Применяем миграцию

php bin/console make:migration
php bin/console doctrine:migrations:migrate

После этого в базе появится таблица user с уникальным индексом по email. Проверка: php bin/console dbal:run-sql "SELECT * FROM user" отрабатывает и возвращает пустой результат.

Шаг 3. Генерируем форму логина

Отдельный аутентификатор для формы входа тоже делает maker:

php bin/console make:auth

Выберите вариант Login form authenticator. Команда спросит имя класса аутентификатора (можно оставить AppAuthenticator), имя контроллера логина (SecurityController) и предложит создать logout-маршрут — согласитесь.

Появятся три вещи:

• src/Security/AppAuthenticator.php — логика проверки логина;
• src/Controller/SecurityController.php с методами login() и logout();
• templates/security/login.html.twig — шаблон формы.

В security.yaml maker сам пропишет секцию firewalls с ключами custom_authenticator и logout. Проверка: в security.yaml внутри firewalls.main появилась строка custom_authenticator: App\Security\AppAuthenticator.

Не редактируйте security.yaml вручную до того, как maker закончит. Порядок ключей и отступы в YAML критичны, а генератор ставит их корректно — правьте уже готовый файл.

Шаг 4. Указываем, куда пускать после входа

В сгенерированном AppAuthenticator.php метод onAuthenticationSuccess() по умолчанию кидает исключение с напоминанием указать маршрут. Замените тело на редирект — например, на главную:

// src/Security/AppAuthenticator.php
public function onAuthenticationSuccess(
    Request $request,
    TokenInterface $token,
    string $firewallName
): ?Response {
    // если пользователь шёл на защищённую страницу — вернём его туда
    if ($targetPath = $this->getTargetPath($request->getSession(), $firewallName)) {
        return new RedirectResponse($targetPath);
    }

    // иначе — на главную
    return new RedirectResponse($this->urlGenerator->generate('app_home'));
}

Здесь app_home — имя вашего главного маршрута. Если такого маршрута нет, создайте контроллер командой php bin/console make:controller HomeController и используйте его имя. Проверка: перезагрузите страницу — исключение You must configure the check path... больше не появляется.

Шаг 5. Создаём первого пользователя

Регистрации у нас пока нет, поэтому пользователя проще завести временной командой. Быстрый способ — консоль Doctrine через простой fixture или ручной insert с уже захешированным паролем. Хеш можно получить так:

php bin/console security:hash-password

Команда попросит ввести пароль и выдаст готовый хеш. Вставьте его в базу вместе с email:

php bin/console dbal:run-sql "INSERT INTO user (email, roles, password) VALUES ('user@example.com', '[]', 'СЮДА_ХЕШ')"

Для боевого проекта так делать не нужно — там будет форма регистрации (make:registration-form). Здесь задача — просто получить учётку для проверки входа.

Шаг 6. Защищаем маршрут и проверяем вход

Пометьте контроллер, который должен требовать входа, атрибутом:

use Symfony\Component\Security\Http\Attribute\IsGranted;

#[Route('/dashboard', name: 'app_dashboard')]
#[IsGranted('ROLE_USER')]
public function dashboard(): Response
{
    return $this->render('dashboard/index.html.twig');
}

Теперь запустите сервер (symfony serve) и откройте /dashboard. Проверка последовательности:

1. без входа вас перебросит на /login;
2. введёте email и пароль созданного пользователя — попадёте на /dashboard;
3. откроете /logout — сессия сбросится, /dashboard снова недоступен.

Если не получилось

• Invalid credentials. — email или пароль не совпадают. Частая причина: пароль в базе не захеширован (вставили открытый текст). Пересоздайте хеш через security:hash-password.
• Unable to find the controller for path "/login_check" — в шаблоне формы action указывает не на тот маршрут, что в check_path. Сверьте check_path в security.yaml с атрибутом формы в login.html.twig.
• The security token could not be found или бесконечный редирект на /login — маршрут /login сам попал под IsGranted или под access_control. Логин-страница должна быть доступна всем: не защищайте её.
• Class "App\Entity\User" ... must implement UserInterface — правили сущность руками и убрали implements UserInterface. Верните интерфейсы, которые проставил make:user.
• После входа снова кидает на форму — не настроен провайдер или в security.yaml в providers указано не то поле (property). Оно должно совпадать с идентификатором из make:user — email.

Что делать дальше

Базовый вход работает. Следующие шаги по мере роста проекта:

• форма регистрации — php bin/console make:registration-form, она сама подключит хеширование и опционально подтверждение email;
• роли и иерархия доступа — секция role_hierarchy в security.yaml и проверки через #[IsGranted] или голосователи (voters);
• «запомнить меня» — параметр remember_me в фаерволе;
• вход через сторонние сервисы (Google, GitHub) — пакет knpuniversity/oauth2-client-bundle.

Инвалидация сессий и защита от перебора паролей (login throttling) — отдельные темы; здесь мы собрали минимальный рабочий вход. За точным синтаксисом конфигов держите под рукой официальную документацию Security для вашей минорной версии.