CakePHP 4 Authentication插件将密码哈希存于$_SESSION，如何移除？

• 定位SESSION写入位置：先找到登录验证通过后将用户数据存入$_SESSION的代码，通常是类似$_SESSION['user'] = $userEntity;这样的语句，问题就出在直接把整个User实体存入SESSION上。
• 只存入必要非敏感字段：不要把完整的User实体丢进SESSION，手动提取需要的字段（比如用户ID、用户名、邮箱），彻底排除密码哈希相关字段。示例代码：

// 错误写法：存入整个用户实体
$_SESSION['user'] = $user;

// 正确写法：仅保留必要字段
$_SESSION['user'] = [
    'id' => $user->getId(),
    'username' => $user->getUsername(),
    'email' => $user->getEmail()
    // 绝对不包含password_hash字段
];

• 清理已存在的敏感SESSION数据：针对已经登录的用户，在全局初始化SESSION的位置添加检查，自动移除已存在的密码哈希：

if (isset($_SESSION['user']['password_hash'])) {
    unset($_SESSION['user']['password_hash']);
}

• 调整CMS登录组件逻辑：既然是遵循官方CMS教程操作，大概率是CMS的登录组件默认将整个用户模型存入SESSION。找到组件的登录处理方法（比如Auth::login()这类），修改其中的SESSION存储规则，只保留非敏感字段；如果组件支持字段白名单配置，直接配置白名单更高效。
• 验证修改效果：完成修改后重新登录，执行var_dump($_SESSION)检查，确认password_hash字段已被移除。

内容的提问来源于stack exchange，提问作者Sander van Hoogdalem