Symfony 6.4自定义登出遇CSRF令牌验证失败问题排查

1. Security配置存在语法错误与缺失项 #

你的security.yaml存在缩进错误，且未配置登出的CSRF验证规则，导致Symfony无法识别传入的令牌，触发验证失败。

修复后的security.yaml：

security:
    enable_authenticator_manager: true
    providers:
        app_user_provider:
            # 补充你的用户提供者配置，例如：entity: { class: App\Entity\User, property: email }
    firewalls:
        main:
            lazy: true
            provider: app_user_provider
            form_login:
                check_path: login
                login_path: login
                enable_csrf: true
                default_target_path: /admin
            remember_me:
                secret: '%kernel.secret%'
                lifetime: 2592000
            logout:
                path: logout
                csrf_token_id: 'logout' # 与模板中csrf_token('logout')的ID保持一致

• 修正了缩进错误，补充firewalls层级（原配置直接写main属于语法错误）
• 添加logout配置项，明确登出路径与CSRF令牌ID

2. SecurityController代码错误 #

• 命名空间错误：原命名空间包含类名，应修正为控制器根命名空间
• 缺少Response类的引入
• 方法名可优化为更具语义的logout

修复后的控制器代码：

namespace App\Controller;

use Symfony\Bundle\SecurityBundle\Security;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Routing\Attribute\Route;

class SecurityController
{
    #[Route(path: '/logout', name: 'logout')]
    public function logout(Security $security): Response
    {
        $security->logout();
        return $this->redirectToRoute('login');
    }
}

3. Twig模板请求方式与参数错误 #

用<a>标签的GET请求触发登出存在安全风险，且Symfony默认要求登出请求为POST，同时CSRF参数名必须为_csrf_token。

修复后的Twig代码：

<form method="POST" action="{{ path('logout') }}">
    <input type="hidden" name="_csrf_token" value="{{ csrf_token('logout') }}">
    <button type="submit">登出</button>
</form>

若需保留链接样式，可通过JavaScript将链接转为POST提交，但表单提交是Symfony官方推荐的标准做法。

内容的提问来源于stack exchange，提问作者XxX