Михаил Рыбалка

Каждый роут должен быть уникален. уникальность роута задается, собственно, параметром name. Если вы его не указываете name генерируется автоматически из имени контроллера и имени экшна. Если вы в проекте указываете два экшна с одинаковым именем роута, у вас всегда сработает тот, который объявлен первым/последним (тут точно не помню).

Назовите роуты api_product_get и admin_product_get

В symfony для этих целей есть EquatableInterface. Каждый раз при загрузке кешированного юзера из токена, если у вас класс User имплементирует EquatableInterface запускается проверка соответствия сохраненного пользователя в токене и полученным из провайдера данным. Если данные не совпадают, токен авторизации аннулируется.

Проще говоря, в вашем случае - реализуйте у класса User EquatableInterface и добавьте в isEqualTo() проверку совпадения ролей.