Symfony从FOSUserBundle迁移至Security：旧用户凭证兼容方案咨询

先明确旧密码的存储格式 #

FOSUserBundle常用两种哈希方案，先检查你数据库里password字段的格式：

• BCrypt格式：以$2y$开头（和Symfony原生BCrypt兼容，仅迭代次数可能不同）
• SHA-512加盐格式：要么是$sha512$rounds=5000$盐值$哈希值，要么是早期的{sha512}哈希值:盐值

方案1：兼容BCrypt格式（最简单） #

如果旧密码是$2y$开头的BCrypt，直接在config/packages/security.yaml配置多哈希器，让Symfony自动兼容并迁移：

security:
    password_hashers:
        App\Entity\User:
            algorithm: auto  # 新密码默认用Argon2id（当前最优算法）
            migrate_from:
                - bcrypt    # 兼容旧BCrypt哈希

效果：用户登录时，系统先尝试用新算法验证，失败则用BCrypt验证；验证通过后，自动将密码重新哈希为Argon2id并更新到数据库。

方案2：兼容SHA-512加盐格式（自定义编码器） #

如果是SHA-512加盐的旧格式，需要自定义密码编码器来解析验证：

1. 编写自定义编码器 #

创建src/Security/FOSUserPasswordEncoder.php：

namespace App\Security;

use Symfony\Component\PasswordHasher\PasswordHasherInterface;

class FOSUserPasswordEncoder implements PasswordHasherInterface
{
    public function hash(string $plainPassword): string
    {
        // 此编码器仅用于验证旧密码，不生成新密码，直接抛出异常
        throw new \RuntimeException('This encoder only verifies legacy FOSUser passwords');
    }

    public function verify(string $hashedPassword, string $plainPassword): bool
    {
        // 处理$sha512$rounds=xxx$salt$hash格式
        if (str_starts_with($hashedPassword, '$sha512$')) {
            $parts = explode('$', $hashedPassword);
            if (count($parts) !== 5) return false;

            $rounds = (int) str_replace('rounds=', '', $parts[2]);
            $salt = $parts[3];
            $expectedHash = $parts[4];

            // 模拟FOSUserBundle的迭代哈希过程
            $computedHash = $plainPassword . $salt;
            for ($i = 0; $i < $rounds; $i++) {
                $computedHash = hash('sha512', $computedHash, true);
            }
            return hash_equals($expectedHash, base64_encode($computedHash));
        }

        // 处理早期{sha512}hash:salt格式
        if (str_starts_with($hashedPassword, '{sha512}')) {
            [$hashPart, $salt] = explode(':', substr($hashedPassword, 9));
            $computedHash = base64_encode(hash('sha512', $plainPassword . $salt, true));
            return hash_equals($hashPart, $computedHash);
        }

        return false;
    }

    public function needsRehash(string $hashedPassword): bool
    {
        // 所有旧密码都需要迁移到新算法
        return true;
    }
}

2. 注册编码器服务 #

在config/services.yaml中添加：

services:
    App\Security\FOSUserPasswordEncoder:
        tags:
            - { name: security.password_hasher, priority: -10, supports: App\Entity\User }

3. 配置Security使用多哈希器 #

修改config/packages/security.yaml：

security:
    password_hashers:
        App\Entity\User:
            algorithm: auto  # 新密码用Argon2id
            migrate_from:
                - App\Security\FOSUserPasswordEncoder  # 兼容旧FOS密码

自动迁移旧密码 #

配置好后，用户首次用旧密码登录成功时，Symfony会自动将密码重新哈希为新算法（Argon2id）并更新到数据库。如果需要确保实体被持久化，可添加登录成功监听器：

创建src/EventListener/LoginSuccessListener.php：

namespace App\EventListener;

use App\Entity\User;
use Doctrine\ORM\EntityManagerInterface;
use Symfony\Component\PasswordHasher\Hasher\UserPasswordHasherInterface;
use Symfony\Component\Security\Http\Event\InteractiveLoginEvent;

class LoginSuccessListener
{
    public function __construct(
        private UserPasswordHasherInterface $passwordHasher,
        private EntityManagerInterface $em
    ) {}

    public function onInteractiveLogin(InteractiveLoginEvent $event): void
    {
        $user = $event->getAuthenticationToken()->getUser();
        if (!$user instanceof User) return;

        if ($this->passwordHasher->needsRehash($user)) {
            $this->em->persist($user);
            $this->em->flush();
        }
    }
}

注册监听器到config/services.yaml：

services:
    App\EventListener\LoginSuccessListener:
        tags:
            - { name: kernel.event_listener, event: security.interactive_login }

测试验证 #

1. 使用旧用户凭证登录，确认登录成功
2. 查看数据库password字段，确认已更新为新的哈希格式（如$argon2id$v=19$...）
3. 再次登录，确认新哈希可正常验证

内容的提问来源于stack exchange，提问作者Razvan Achihaitei