如何在Symfony中强制登出已封禁用户的活跃会话？

问题场景 #

你尝试通过配置always_authenticate_before_granting实现已封禁用户立即退出活跃会话：

security:
    always_authenticate_before_granting: true

但触发如下错误：

The security option "always_authenticate_before_granting" cannot be used when "enable_authenticator_manager" is set to true. If you rely on this behavior, set it to false

错误提示翻译：

当enable_authenticator_manager设为true时，无法使用安全选项always_authenticate_before_granting。若需该功能，请将enable_authenticator_manager设为false。

解决方案 #

Symfony新认证管理器（Authenticator Manager）不兼容旧的always_authenticate_before_granting选项，可通过两种方式实现需求：

方式一：切换回旧认证管理器 #

在security.yaml中关闭新认证管理器，保留原配置：

security:
    enable_authenticator_manager: false
    always_authenticate_before_granting: true

此方式简单直接，但旧认证管理器在后续Symfony版本可能被废弃，适合依赖旧逻辑的项目。

方式二：事件监听器实现（推荐） #

若想保留新认证管理器，可通过监听TokenAuthenticatedEvent事件，在每次用户认证后检查账号状态，强制登出已封禁用户：

1. 创建监听器类：

// src/EventListener/CheckUserBanStatusListener.php
namespace App\EventListener;

use Symfony\Component\Security\Core\Exception\DisabledException;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\Security\Http\Event\TokenAuthenticatedEvent;

class CheckUserBanStatusListener
{
    public function __invoke(TokenAuthenticatedEvent $event): void
    {
        $user = $event->getAuthenticatedToken()->getUser();

        if (!$user instanceof UserInterface) {
            return;
        }

        // 假设User实体有isBanned()方法判断封禁状态，根据实际业务调整
        if ($user->isBanned()) {
            throw new DisabledException('账号已被封禁');
        }
    }
}

2. 注册监听器到services.yaml：

services:
    App\EventListener\CheckUserBanStatusListener:
        tags:
            - { name: kernel.event_listener, event: security.token_authenticated }

每次用户发起请求时，系统会自动检查账号状态，若已封禁则抛出异常并触发登出逻辑。

补充说明 #

• 方式二更贴合Symfony现代认证体系，支持自定义提示信息、日志记录等扩展操作。
• 需确保User实体中实现了判断封禁状态的逻辑（如示例中的isBanned()方法）。

内容的提问来源于stack exchange，提问作者Sinan Tosun