symfony 7.x 必须用 userpasswordhasherinterface::ispasswordvalid() 验证密码，因 hashpassword() 每次生成新 salt 导致相同密码哈希值不同，且 ispasswordvalid() 自动提取 salt、算法并恒定时间比对。
Symfony 7.x 的密码哈希机制不是“自己写 hash 对比”，而是必须依赖 UserPasswordHasherInterface::isPasswordValid() 做验证——跳过这步，等于绕开所有安全设计。
为什么不能用 hashPassword() 比对旧密码
因为每次调用 hashPassword() 都会生成新 salt，相同明文密码的输出必然不同：
$hashed1 = $passwordHasher->hashPassword($user, 'secret123'); $hashed2 = $passwordHasher->hashPassword($user, 'secret123'); var_dump($hashed1 === $hashed2); // bool(false)
直接字符串比对永远失败。更危险的是，这种写法会诱使开发者把明文密码 log 出来调试，或在数据库里存多份哈希值。
-
isPasswordValid()内部自动提取原始哈希里的 salt、算法标识（如$argon2id$v=19$m=65536,t=4,p=1$...）并复现相同运算 - 它还使用恒定时间比对（timing-attack resistant），避免侧信道泄露验证结果
- 要求
$user实现PasswordAuthenticatedUserInterface，且getPassword()必须返回完整原始哈希字符串
如何正确配置和使用 UserPasswordHasherInterface
Symfony 7.x 默认启用 Argon2iPasswordEncoder（若 PHP 支持），但具体行为由 security.yaml 中的 password_hashers 配置决定：
password_hashers:
App\Entity\User:
algorithm: 'argon2i'
memory_cost: 65536
time_cost: 4
threads: 3
关键点：
- 不要手动 new PasswordHasher；始终通过 DI 注入
UserPasswordHasherInterface - 若升级老项目，注意
NativePasswordEncoder已弃用，auto算法会根据环境自动选 Argon2 或 bcrypt - 测试环境可用
plaintext算法（仅限本地开发），但必须确保APP_ENV=test下才启用，且绝不可出现在 prod 配置中
密码强度校验要单独加，不依赖哈希器
UserPasswordHasherInterface 只负责“密码是否匹配”，不检查“密码够不够强”。强度规则需额外集成：
- 推荐
rollerworks/password-strength-validator，支持 Symfony 7，YAML 配置即生效 - 在表单字段上叠加约束：
new NotBlank()+new PasswordStrength\PasswordStrength() - 禁用常见弱序列（如
123、abc、password）靠forbidden_sequences，不是靠正则硬匹配 - 切记：强度校验只作用于新密码（
plainPassword字段），旧密码仍走isPasswordValid()
生产环境密码存储的三个硬性边界
哈希再安全，也救不了被明文塞进数据库的密码：
- 数据库连接密码必须用
%env(resolve:DB_PASSWORD)%，且resolve:不可省略——否则 Symfony 不解密，连接直接报错 -
DATABASE_URL是唯一入口，禁止在doctrine.yaml里拼接字符串，避免 SQL 注入和转义漏洞 - 敏感环境变量（如
DB_PASSWORD）必须由 K8s Secret、systemd Environment= 或 Vault 注入，绝不可写进.env或 CI 脚本
Argon2 的参数（memory_cost、time_cost）调太高会导致登录接口超时，尤其在低配容器里——压测时得实测，不能只看文档推荐值。
