Как безопасно вызвать действие удаления в контроллере?

Способ защитить ваше действие удаления, это сделать что-то вроде:

• вы создаете избирателя в соответствии с этой документацией Как использовать избирателей для проверки разрешений пользователя как сказал Виктор Кочкарев.

    <?php

    namespace App\Security\Voter;

    use App\Entity\User;
    use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
    use Symfony\Component\Security\Core\Authorization\Voter\Voter;
    use App\Entity\Comment;

    class CommentVoter extends Voter
    {
        const CAN_DELETE = 'CAN_DELETE';

        protected function supports($attribute, $subject)
        {

            return in_array($attribute, [self::CAN_DELETE]) && $subject instanceof Comment;
        }

        protected function voteOnAttribute($attribute, $subject, TokenInterface $token)
        {
            $user = $token->getUser();
            // if the user is anonymous, do not grant access
            if (!$user instanceof User) {
                return false;
            }

            /** @var Comment $comment */
            $comment = $subject;

            switch ($attribute) {
                case self::CAN_DELETE:
                    return $this->canDelete($comment, $user);
            }

            throw new \LogicException('This code should not be reached!');
        }

        private function canDelete(Comment $comment, User $user)
        {
            if($user->getId() !== $comment->getAuthor()->getId() && $user->hasRole('ROLE_MODERATOR') === false) {
                return false;  
            }

            return true;
        }

    }

В вашей пользовательской сущности метод hasRole может выглядеть примерно так:

   /**
     * @param string $role
     */
    public function hasRole(string $role)
    {
        return in_array(strtoupper($role), $this->getRoles(), true);
    }

• В вашем шаблоне вы можете сделать что-то вроде:

{% if is_granted('CAN_DELETE', comment) %}
    <form action="{{ path('comment_delete', {'id': comment.id, 'articleId': article.id, 'articleSlug': article.slug}) }}" method="post">
       <input type="hidden" name="_csrf_token" value="{{csrf_token('delete_comment')}}" />
       <button>supprimer</button>
    </form>
{% endif %}

• Наконец, в вашем контроллере вы можете сделать что-то вроде:

    /**
     * @Route("/blog/commentDelete/{id}-{articleId}-{articleSlug}", methods={"POST"}, name="comment_delete")
     */
    public function commentDelete($id, $articleId, $articleSlug, CommentRepository $commentRepository, EntityManagerInterface $em){

       $comment = $commentRepository->find($id);
       $csrfToken = $request->request->get('_csrf_token');

       if(!$this->isCsrfTokenValid('delete_comment', $csrfToken) || !$this->isGranted('CAN_DELETE', $comment){
           throw exception_for("Cette page n'existe pas");
       }

       $em->remove($comment);
       $em->flush();
       $this->addFlash('comment_success', 'Commentaire supprimé avec succès');
       return $this->redirectToRoute('blog_show', array('id' => $articleId, 'slug' => $articleSlug));
    }

Здесь ваш метод удаления защищен токеном csrf и избирателем. Я думаю, что это попытка решения.

Для решения подобных проблем я бы рекомендовал использовать Symfony Voters https://symfony.com/doc/current/security/voters.html

Вы движетесь в правильном направлении. Всегда выполняйте проверку и проверку разрешений в бэкэнде.

Скрытие ссылки или использование формы и отключение ее не помешает людям, использующим инструменты разработчика, отправить запрос на ваш контроллер. Я бы предпочел, чтобы внешние проверки служили удобству для пользователей, прямо показывая им, что некоторые данные недействительны / им не разрешено что-то делать, прежде чем делать запрос.

Я использую SensioFrameworkExtraBundle для проверки ROLE (до сих пор мне не нравятся аннотации для таких проверок.. хм) — выдает разрешениеDeniedException, если у пользователя нет подходящей роли для действия контроллера. После этого может потребоваться выполнить дальнейшие проверки, как вы сделали с $user->getId() != $comment->getAuthor()->getId()