Symfony 6.2如何阻止未验证邮箱的用户登录？

默认情况下，Symfony 6.2允许未验证邮箱的用户登录，甚至默认流程要求用户先登录再验证邮箱。我已实现无需登录即可通过确认链接标记邮箱为已验证的功能，但仍需解决核心问题：完全阻止未验证邮箱的用户登录。目前现有示例多为验证通过后拒绝操作，缺少直接拦截登录的方案。

尝试过的方案：监听security.interactive_login事件 #

曾尝试通过事件监听器捕获登录事件，配置如下：

app.login_listener:
        class: App\EventListener\LoginListener
        tags:
            - { name: kernel.event_listener, event: security.interactive_login, method: afterSuccessLogin }

但无法在该监听器中完成未验证用户的注销及页面跳转操作。

可行但非最优的方案：监听security.authentication.success事件 #

找到一个可运行的方案，通过监听认证成功事件拦截未验证用户：

服务配置 #

app.login_listener:
        class: App\EventListener\LoginListener
        tags:
            - { name: kernel.event_listener, event: security.authentication.success, method: onAuthenticationSuccessEvent }

监听器代码 #

namespace App\EventListener;

use App\Entity\User;
use Symfony\Component\Security\Core\Event\AuthenticationSuccessEvent;
use Symfony\Component\Security\Core\Exception\AuthenticationException;

class LoginListener
{
    public function onAuthenticationSuccessEvent(AuthenticationSuccessEvent $event)
    {
        /** @var User $user */
        $user = $event->getAuthenticationToken()->getUser();
        if ($user->isVerified() === false)
        {
            throw new AuthenticationException('请先验证您的邮箱地址。');
        }
    }
}

官方推荐的正确方式：自定义User Checker #

上述事件监听器方案虽可行，但Symfony官方推荐使用自定义User Checker来实现用户登录前后的校验，这是贴合框架认证流程的标准做法。

步骤1：创建自定义UserChecker类 #

namespace App\Security;

use App\Entity\User;
use Symfony\Component\Security\Core\Exception\CustomUserMessageAuthenticationException;
use Symfony\Component\Security\Core\User\UserCheckerInterface;
use Symfony\Component\Security\Core\User\UserInterface;

class UserChecker implements UserCheckerInterface
{
    public function checkPreAuth(UserInterface $user): void
    {
        // 预认证阶段无需额外检查，保持默认逻辑即可
    }

    public function checkPostAuth(UserInterface $user): void
    {
        // 仅对自定义User实体进行检查
        if (!$user instanceof User) {
            return;
        }

        // 检查用户邮箱是否已验证
        if (!$user->isVerified()) {
            throw new CustomUserMessageAuthenticationException('请先验证您的邮箱地址。');
        }
    }
}

步骤2：配置安全防火墙使用自定义UserChecker #

在config/packages/security.yaml中，为对应防火墙指定自定义的用户检查器：

security:
    firewalls:
        main:
            # ... 其他防火墙配置（如form_login、logout等）
            user_checker: App\Security\UserChecker

为什么这是正确方式？ #

UserChecker是Symfony安全组件原生提供的用户校验机制，专门用于在认证流程的预认证（checkPreAuth）和后认证（checkPostAuth）阶段执行用户状态检查，比事件监听器更贴合框架的认证逻辑，属于官方推荐的标准实现方式。

内容的提问来源于stack exchange，提问作者Сергей Сидорчик