Symfony 6自定义认证器中Remember Me Token含用户实体命名空间问题

这个情况是完全正常的，具体原因和细节如下：

1. Symfony RememberMe的默认实现逻辑 #

Symfony的「记住我」功能默认通过TokenBasedRememberMeServices生成和验证Cookie，它会将以下信息编码进REMEMBERME Cookie值中：

• 用户实体的完整类名（包含命名空间）
• 用户的唯一标识符（由UserInterface::getUserIdentifier()返回，你的场景中是邮箱）
• 过期时间戳
• 基于%kernel.secret%生成的签名（防止Cookie被篡改）

你看到的Auth.Domain.Model.User.User%3AbWFpbEBtYWlsLmNvbQ~~部分，是URL编码后的「用户类名 + 分隔符 + base64编码的用户标识符」，属于默认逻辑的正常输出。

2. 为什么需要包含类名 #

这是Symfony的兼容性设计：当系统中存在多个实现UserInterface的实体类时，Symfony需要明确知道应该从哪个类加载用户。即便你的系统只有一个用户类，默认逻辑依然会保留该信息，确保多用户类场景下的兼容性。

3. 安全性说明 #

无需担心此行为带来的安全风险：

• Cookie值经过签名校验，任何篡改都会被Symfony直接拒绝
• 用户类的命名空间不属于敏感信息，不会泄露用户核心隐私数据

可选优化（若需隐藏类名） #

如果确实想避免在Cookie中暴露用户类命名空间，可以自定义RememberMeServices实现：

• 创建自定义类继承TokenBasedRememberMeServices
• 重写encodeCookie和decodeCookie方法，用自定义短标识替代完整类名（比如用字符串映射用户类）
• 在security.yaml的remember_me配置中指定使用自定义服务

不过通常来说，默认行为已足够安全，无需额外修改。

内容的提问来源于stack exchange，提问作者S. Wasta