Symfony2 ACL combinado con otros criterios

Estoy publicando esta solución para que otros puedan ver mi código final, pero aquí están las trampas que encontré al implementar un Votante como Sugerido Problemático.

SupportsAttribute : Parece que cuando llamas al método isGranted en el SecurityContext que en realidad no verifica este método antes de delegar una llamada vote a un VoterInterface, por lo que dentro de tu método vote realmente tienes que verificar los atributos tú mismo.

SupportsClass: En la respuesta de problematic arriba parecía que este método podría ser una clave para una selección basada en fábrica de la cual VoterInterface s puede votar, pero en realidad la documentación de symfony2 dice:

El método supportsClass() se utiliza para comprobar si el votante admite la clase token de usuario actual.

Por lo tanto, en realidad parece pertenecer a si el Voter soporta o no el tipo de token. Para empeorar las cosas, el documento PHP parece vago:

Comprueba si el votante apoya la clase.

En cualquier caso, el principal problema es que este método nunca es verificado por el SecurityContext antes de delegar la llamada al método vote de cualquier votante - incluso si este método está codificado para return false vote todavía se llamará!

Así que básicamente la moraleja de la historia parecía ser: comprobar el $attributes y $object entrando en el método vote manualmente.

Mi Código:

Servicios.yml

parameters:
    comment_voter.class: Acme\Bundle\CommentBundle\Security\Authorization\Voter\CommentVoter

services:
    comment_voter:
        class: %comment_voter.class%
        arguments:  [@service_container]
        public: false
        tags:
          - { name: security.voter }

Y el clase de votante:

<?php

namespace Acme\Bundle\CommentBundle\Security\Authorization\Voter;

use Symfony\Component\Security\Core\Authorization\Voter\VoterInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;

use Acme\Bundle\CommentBundle\Entity\Comment;
use Symfony\Component\Security\Core\User\UserInterface;

/**
 * A class to check editing privileges for Comments.
 */
class CommentVoter implements VoterInterface {

    const AUTHOR_EDIT_TIME_LIMIT    = 300;

    private $container;

    public function __construct($container) {
        $this->container = $container;
    }

    public function supportsAttribute($attribute) {
        return $attribute === 'EDIT';
    }

    public function supportsClass($class) {
        return true;
    }

    /**
     * Checks whether or not the current user can edit a comment.
     * 
     * Users with the role ROLE_COMMENT_MODERATOR may always edit.
     * A comment's author can only edit within 5 minutes of it being posted.
     * 
     * {@inheritdoc}
     */
    public function vote(TokenInterface $token, $object, array $attributes) {
        if ( !($object instanceof Comment) ) {
            return VoterInterface::ACCESS_ABSTAIN;
        }

        // Only supports 'EDIT' for now.
        if ( !$this->supportsAttribute($attributes[0]) ) {
            return VoterInterface::ACCESS_ABSTAIN;
        }

        $user = $token->getUser();
        if ( !($user instanceof UserInterface) ) {
            return VoterInterface::ACCESS_DENIED;
        }

        // Is the token a comment moderator?
        if ( $this->container->get('security.context')->isGranted('ROLE_COMMENT_MODERATOR') ) {
            return VoterInterface::ACCESS_GRANTED;
        }

        // Is the token the author of the post and within the edit window.
        $originalRevision = $object->getOriginalRevision();
        if ( $originalRevision->getAuthor()->equals($user) ) {
            if ( 
                (time() - $originalRevision->getCreationDate()->getTimestamp())
                <= self::AUTHOR_EDIT_TIME_LIMIT
            ) {
                return VoterInterface::ACCESS_GRANTED;
            }
        }

        return VoterInterface::ACCESS_DENIED;
    }

}

Y finalmente plantilla:

{% if is_granted('EDIT', comment) %}<a href="#">Edit</a>{% endif %}

Espero que esto ayude a alguien más en el futuro y un gran agradecimiento a Problematic por señalarme en la dirección de los votantes.