Что такое Symfony voter и как реализовать пользовательскую логику авторизации?

Что такое Symfony Voter

Voter — это класс, реализующий VoterInterface, который определяет, может ли текущий пользователь выполнить конкретное действие над конкретным объектом. Это основной механизм расширяемой авторизации в Symfony, заменяющий громоздкие проверки ролей в контроллерах.

Структура Voter

<?php
// src/Security/Voter/ArticleVoter.php
namespace App\Security\Voter;

use App\Entity\Article;
use App\Entity\User;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Authorization\Voter\Voter;

class ArticleVoter extends Voter
{
    // Константы атрибутов — хорошая практика, избегает опечаток
    public const VIEW   = 'ARTICLE_VIEW';
    public const EDIT   = 'ARTICLE_EDIT';
    public const DELETE = 'ARTICLE_DELETE';
    public const PUBLISH = 'ARTICLE_PUBLISH';

    /**
     * Вызывается для КАЖДОГО атрибута и КАЖДОГО субъекта.
     * Должен быть максимально быстрым — только проверка типов.
     */
    protected function supports(string $attribute, mixed $subject): bool
    {
        return in_array($attribute, [self::VIEW, self::EDIT, self::DELETE, self::PUBLISH], true)
            && $subject instanceof Article;
    }

    /**
     * Вызывается только если supports() вернул true.
     * Здесь вся бизнес-логика авторизации.
     */
    protected function voteOnAttribute(string $attribute, mixed $subject, TokenInterface $token): bool
    {
        $user = $token->getUser();

        // Анонимный пользователь
        if (!$user instanceof User) {
            return $attribute === self::VIEW && $subject->isPublished();
        }

        /** @var Article $article */
        $article = $subject;

        return match ($attribute) {
            self::VIEW    => $this->canView($article, $user),
            self::EDIT    => $this->canEdit($article, $user),
            self::DELETE  => $this->canDelete($article, $user),
            self::PUBLISH => $this->canPublish($article, $user),
            default       => false,
        };
    }

    private function canView(Article $article, User $user): bool
    {
        // Опубликованные видят все, черновики — только автор
        return $article->isPublished() || $user === $article->getAuthor();
    }

    private function canEdit(Article $article, User $user): bool
    {
        return $user === $article->getAuthor();
    }

    private function canDelete(Article $article, User $user): bool
    {
        // Автор или администратор
        return $user === $article->getAuthor()
            || in_array('ROLE_ADMIN', $user->getRoles(), true);
    }

    private function canPublish(Article $article, User $user): bool
    {
        // Только редакторы и администраторы
        return $this->security->isGranted('ROLE_EDITOR', $user)
            || $this->security->isGranted('ROLE_ADMIN', $user);
    }
}

Использование в контроллере

<?php
use Symfony\Component\Security\Http\Attribute\IsGranted;

class ArticleController extends AbstractController
{
    // Через атрибут PHP 8 (рекомендуется)
    #[IsGranted('ARTICLE_EDIT', subject: 'article')]
    #[Route('/article/{id}/edit')]
    public function edit(Article $article): Response
    {
        // ...
    }

    // Через метод контроллера (императивно)
    #[Route('/article/{id}/delete')]
    public function delete(Article $article): Response
    {
        $this->denyAccessUnlessGranted('ARTICLE_DELETE', $article);
        // ...
    }

    // Мягкая проверка без выброса исключения
    #[Route('/article/{id}')]
    public function show(Article $article): Response
    {
        $canEdit = $this->isGranted('ARTICLE_EDIT', $article);
        return $this->render('article/show.html.twig', [
            'article' => $article,
            'canEdit' => $canEdit,
        ]);
    }
}

Voter с зависимостями

<?php
use Symfony\Bundle\SecurityBundle\Security;

class ArticleVoter extends Voter
{
    public function __construct(
        private readonly Security $security
    ) {}

    private function canPublish(Article $article, User $user): bool
    {
        // isGranted учитывает ROLE_HIERARCHY — нельзя проверять $user->getRoles() напрямую
        return $this->security->isGranted('ROLE_EDITOR');
    }
}

Стратегии голосования

# config/packages/security.yaml
security:
  access_decision_manager:
    strategy: affirmative  # доступ если хоть один voter ACCESS_GRANTED (по умолчанию)
    # strategy: consensus   # большинство voter ACCESS_GRANTED
    # strategy: unanimous   # все voter ACCESS_GRANTED
    # strategy: priority     # первый voter, который не воздержался
    allow_if_all_abstain: false

Подводные камни

• Метод supports() вызывается для каждого Voter при каждой проверке — не делайте в нём запросов к БД.
• Проверка in_array('ROLE_ADMIN', $user->getRoles()) не учитывает ROLE_HIERARCHY — используйте $this->security->isGranted('ROLE_ADMIN').
• Без autoconfigure: true в services.yaml Voter не будет зарегистрирован как тег security.voter — Symfony его проигнорирует.
• Атрибут #[IsGranted] на методе контроллера не работает с subject, если параметр не является route-параметром или ParamConverter-объектом.
• При стратегии unanimous один voter, вернувший ACCESS_DENIED, блокирует доступ даже если остальные разрешили — учитывайте при нескольких voters для одного атрибута.
• Voter возвращает bool, но реально работает с константами ACCESS_GRANTED (1), ACCESS_DENIED (-1), ACCESS_ABSTAIN (0) — возврат false из voteOnAttribute эквивалентен ACCESS_DENIED, не ACCESS_ABSTAIN.
• Voters вызываются даже для анонимных пользователей — всегда проверяйте $user instanceof User перед обращением к методам пользователя.
• Нельзя использовать Voter для авторизации внутри Twig-шаблона без передачи is_safe: ['html'] в кастомной функции — используйте is_granted('ARTICLE_EDIT', article) напрямую в Twig.

• Сводить voters к названию метода без lifecycle и failure path.
• Игнорировать модель runtime: Symfony 7/8 строит request lifecycle вокруг HttpKernel, events, routing, controller resolver и response listeners.
• Не отделять validation, authorization, transaction boundary и business logic.

• Объясняет voters через конкретную точку lifecycle в Symfony.
• Приводит корректный минимальный пример без вымышленных методов или callbacks.
• Называет edge cases: пустые значения, ошибки, транзакции, безопасность или concurrency.
• Идёт от входных данных к БД/кешу/логам, а не предлагает случайные исправления.