Symfony中stateless=false且用自定义令牌认证器时CSRF令牌无效如何解决？

问题原因 #

当stateless设为false时，用户认证成功后会创建会话，但自定义令牌认证器未正确关联会话与CSRF令牌的绑定关系，导致提交表单时CSRF令牌校验失败。

解决方案 #

1. 自定义认证器中处理会话迁移 #

在CustomAuthTokenAuthenticator的认证成功逻辑中，添加会话迁移操作，防止会话固定攻击的同时，确保CSRF令牌绑定到有效会话：

// src/Security/CustomAuthTokenAuthenticator.php
use Symfony\Component\HttpFoundation\Session\SessionInterface;
use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;
use Symfony\Component\Security\Http\Authenticator\Passport\PassportInterface;

class CustomAuthTokenAuthenticator extends AbstractAuthenticator
{
    private $session;

    public function __construct(SessionInterface $session)
    {
        $this->session = $session;
    }

    public function authenticate(Request $request): PassportInterface
    {
        // ... 你的认证逻辑

        // 认证成功后执行会话迁移
        if ($this->session->isStarted()) {
            $this->session->migrate(true);
        }

        // 返回Passport实例
    }
}

2. 显式配置CSRF使用会话存储 #

在framework.yaml中明确指定CSRF令牌存储为会话存储，确保CSRF令牌与当前会话绑定：

framework:
  csrf_protection:
    enabled: true
    storage_id: session.csrf.token_storage
  session:
    handler_id: null
    cookie_secure: auto
    cookie_samesite: lax
    storage_factory_id: session.storage.factory.native

3. 避免认证器干扰CSRF会话数据 #

检查CustomAuthTokenAuthenticator中是否有修改、清除会话数据的代码，确保不会误删或覆盖_csrf_token相关的会话键。

4. 确保表单CSRF令牌上下文一致 #

如果表单使用自定义CSRF令牌ID，需确保表单构建与模板渲染时使用同一ID：

// 表单类中
use Symfony\Component\Form\Extension\Core\Type\CsrfType;

public function buildForm(FormBuilderInterface $builder, array $options): void
{
    $builder
        // ... 其他字段
        ->add('_token', CsrfType::class, [
            'csrf_token_id' => 'unique_form_csrf_id',
        ]);
}

模板中渲染时无需额外配置，Symfony会自动匹配对应ID的令牌。

验证步骤 #

1. 用户认证成功后，查看会话存储中的_csrf_token键是否存在；
2. 提交表单时，对比请求中的_token参数与会话中存储的令牌值是否一致；
3. 若仍有问题，开启Symfony调试模式，查看CSRF校验的具体错误日志。

内容的提问来源于stack exchange，提问作者sabat