如何在Symfony 4中让封禁或角色变更的用户自动登出

我明白你的问题了——你想在用户被封禁或者角色发生变更时自动强制他们登出，但在Symfony 4里添加always_authenticate_before_granting: true和logout_on_user_change: true这两个配置后，既没报错也没效果。这是因为这两个配置是Symfony 5.1及以上版本才引入的，Symfony 4根本不支持它们，所以得用自定义方案来实现需求。

下面给你两种适配Symfony 4的解决办法：

方法一：扩展已配置的UserChecker #

你已经在security.yaml里配置了user_checker: App\Security\UserChecker，正好可以利用它来检查用户状态和角色变化，一旦检测到异常就抛出异常触发自动登出。

1. 更新UserChecker类 #

修改App\Security\UserChecker.php，添加对用户封禁状态和角色变更的检查：

namespace App\Security;

use App\Entity\User;
use Symfony\Component\Security\Core\Exception\CustomUserMessageAccountStatusException;
use Symfony\Component\Security\Core\User\UserCheckerInterface;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\HttpFoundation\Session\SessionInterface;

class UserChecker implements UserCheckerInterface
{
    private $session;

    public function __construct(SessionInterface $session)
    {
        $this->session = $session;
    }

    public function checkPreAuth(UserInterface $user)
    {
        // 登录前检查是否被封禁
        if ($user instanceof User && $user->isBanned()) {
            throw new CustomUserMessageAccountStatusException('你的账号已被封禁，请联系管理员。');
        }
    }

    public function checkPostAuth(UserInterface $user)
    {
        if (!$user instanceof User) {
            return;
        }

        // 检查角色是否变更：对比session中存储的角色和当前用户角色
        $storedRoles = $this->session->get('user_roles', []);
        $currentRoles = $user->getRoles();

        if ($storedRoles !== $currentRoles) {
            throw new CustomUserMessageAccountStatusException('你的账号权限已变更，请重新登录。');
        }

        // 登录后再次检查封禁状态（防止账号在登录后被封禁）
        if ($user->isBanned()) {
            throw new CustomUserMessageAccountStatusException('你的账号已被封禁，请联系管理员。');
        }
    }
}

2. 登录成功时存储角色到Session #

在你的LoginFormAuthenticator的onAuthenticationSuccess方法里，把当前用户的角色存入Session，方便后续对比：

public function onAuthenticationSuccess(Request $request, TokenInterface $token, $providerKey)
{
    // 获取目标跳转路径（保留你原有的逻辑）
    $targetPath = $this->getTargetPath($request->getSession(), $providerKey);
    if (!$targetPath) {
        $targetPath = $this->urlGenerator->generate('home');
    }

    // 将用户角色存入Session
    $request->getSession()->set('user_roles', $token->getUser()->getRoles());

    return new RedirectResponse($targetPath);
}

方法二：监听Kernel请求事件 #

如果不想修改UserChecker，也可以通过监听kernel.request事件，在每次请求时检查用户状态，一旦发现异常就强制登出并跳转登录页。

1. 创建事件监听器 #

新建App\EventListener\UserStatusListener.php：

namespace App\EventListener;

use App\Entity\User;
use Symfony\Component\HttpFoundation\RedirectResponse;
use Symfony\Component\HttpKernel\Event\RequestEvent;
use Symfony\Component\Routing\Generator\UrlGeneratorInterface;
use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorageInterface;
use Symfony\Component\Security\Core\Security;

class UserStatusListener
{
    private $tokenStorage;
    private $router;
    private $security;

    public function __construct(TokenStorageInterface $tokenStorage, UrlGeneratorInterface $router, Security $security)
    {
        $this->tokenStorage = $tokenStorage;
        $this->router = $router;
        $this->security = $security;
    }

    public function onKernelRequest(RequestEvent $event)
    {
        // 只处理主请求
        if (!$event->isMasterRequest()) {
            return;
        }

        $token = $this->tokenStorage->getToken();
        if (!$token || !$token->getUser() instanceof User) {
            return;
        }

        $user = $token->getUser();
        $session = $event->getRequest()->getSession();
        $storedRoles = $session->get('user_roles', []);

        // 检查账号是否被封禁
        if ($user->isBanned()) {
            $this->security->logout();
            $session->getFlashBag()->add('error', '你的账号已被封禁，请联系管理员。');
            $event->setResponse(new RedirectResponse($this->router->generate('login')));
            return;
        }

        // 检查角色是否变更
        if ($storedRoles !== $user->getRoles()) {
            $this->security->logout();
            $session->getFlashBag()->add('error', '你的账号权限已变更，请重新登录。');
            $event->setResponse(new RedirectResponse($this->router->generate('login')));
        }
    }
}

2. 配置监听器 #

在config/services.yaml里注册这个监听器：

App\EventListener\UserStatusListener:
    tags:
        - { name: kernel.event_listener, event: kernel.request, method: onKernelRequest }

补充说明 #

• 确保你的User实体有对应的isBanned()方法（如果需要处理封禁逻辑），以及getRoles()方法能正确返回角色数组。
• 两种方法选其一即可，推荐用UserChecker的方式，更贴合Symfony的安全组件设计。

内容的提问来源于stack exchange，提问作者user11084147