Symfony部署Heroku生产环境后登录报Invalid Credentials错误求助

以下是按出现概率从高到低排序的排查路径，逐点验证即可定位问题：

• 优先校验环境变量与密码哈希匹配性
  Symfony默认的用户密码哈希算法会关联项目APP_SECRET生成加密盐，如果你是直接从本地导出SQL初始化Heroku数据库，两边APP_SECRET不一致的话，就算输入的明文密码完全正确，哈希校验也会失败。
  操作步骤：
  1. 登录Heroku控制台进入项目变量配置页，复制当前环境的APP_SECRET值，和本地项目.env文件里的APP_SECRET做对比
  2. 如果值不一致，直接在Heroku项目终端执行php bin/console security:hash-password 你的登录明文密码，生成对应环境下的合法密码哈希
  3. 执行SQL更新用户表对应用户的password字段为新生成的哈希值，再重新尝试登录
• 校验安全配置与登录表单参数一致性
  打开项目config/packages/security.yaml文件，找到form_login节点下的username_parameter、password_parameter配置项，确认两个配置值和登录页表单提交的输入框name属性完全一致，参数名不匹配会导致鉴权层拿到空的账号密码值，直接返回凭据错误。
• 确认生产环境用户数据真实存在
  很多人部署时只执行了数据库迁移命令，忘记导入用户表初始数据，或是导入命令执行失败没报错。在Heroku终端执行php bin/console doctrine:query:sql "SELECT COUNT(*) FROM user"，确认返回的用户记录数大于0，避免空表鉴权。
• 校验用户实体鉴权逻辑完整性
  确认项目的User实体类正确实现了Symfony要求的UserInterface接口，getUserIdentifier()、getPassword()、getRoles()、eraseCredentials()方法返回值正常；如果实体做了序列化配置，确认序列化字段包含账号、密码等核心鉴权字段，字段缺失会导致会话读取用户信息失败，触发凭据错误。
• 查看生产日志定位具体报错
  临时将Heroku环境的APP_DEBUG变量设为true，复现登录失败操作后执行heroku logs --tail拉取实时日志，筛选security.DEBUG关键词的日志条目，会直接打印失败的具体原因，常见的隐式报错包括CSRF令牌校验失败、反向代理未加信任列表导致请求属性丢失等。

  小提示：如果是CSRF校验失败触发的凭据错误，需要在config/packages/framework.yaml里配置Heroku的反向代理IP段到trusted_proxies列表，否则代理层转发的请求会被框架判定为不安全请求，拦截CSRF令牌。

内容的提问来源于stack exchange，提问作者Marine bde