Symfony 7.3中FormLogin的RememberMe功能无法正常工作排查

一、可能遗漏的配置项 #

1. 确保remember_me的密钥配置正确 #

在security.yaml的防火墙配置中，remember_me必须指定与全局框架一致的密钥，且要匹配表单提交的参数名：

# config/packages/security.yaml
security:
    firewalls:
        main:
            remember_me:
                secret: '%kernel.secret%' # 必须引用全局框架密钥，不能留空或填错
                lifetime: 604800
                path: /
                remember_me_parameter: _remember_me # 需与表单复选框的name属性完全一致

2. 自定义认证器需正确处理RememberMeBadge #

在LoginFormAuthenticator的authenticate()方法中，要根据表单的勾选状态主动设置记住我开关：

// src/Security/LoginFormAuthenticator.php
public function authenticate(Request $request): PassportInterface
{
    $rememberMeChecked = $request->request->getBoolean('_remember_me');
    
    $passport = new Passport(
        new UserBadge($request->request->get('email')),
        new PasswordCredentials($request->request->get('password')),
        [
            new CsrfTokenBadge('authenticate', $request->request->get('_csrf_token')),
            $rememberMeBadge = new RememberMeBadge(),
        ]
    );

    // 根据表单勾选状态启用/禁用记住我
    $rememberMeBadge->setRememberMe($rememberMeChecked);

    return $passport;
}

3. 检查Session配置是否覆盖RememberMe有效期 #

如果Session的Cookie生命周期短于7天，会导致会话提前过期，覆盖RememberMe的效果，需调整framework.yaml中的Session配置：

# config/packages/framework.yaml
framework:
    session:
        cookie_lifetime: 604800 # 与RememberMe生命周期保持一致或更长
        gc_maxlifetime: 604800 # 会话垃圾回收的最大周期

4. 确认防火墙未开启无状态模式 #

防火墙的stateless: true会直接禁用Session和持久化Cookie，导致RememberMe功能被跳过，必须保持该值为false（默认值为false，若手动修改过需改回）：

# config/packages/security.yaml
security:
    firewalls:
        main:
            stateless: false
            # ... 其他登录相关配置

二、正确测试RememberMe功能的步骤 #

• 清除浏览器中当前域名的所有Cookie（包括PHPSESSID和REMEMBERME），确保测试环境干净。
• 登录时勾选“记住我”复选框，通过浏览器开发者工具的网络请求，确认Form Data中存在_remember_me: on或_remember_me: 1的参数。
• 完全关闭浏览器（不是仅关闭标签页），重新打开后访问需要登录的页面，查看Security Profiler的认证信息，确认是RememberMeAuthenticator完成的自动登录。
• 在浏览器开发者工具的Application标签下，查看REMEMBERME Cookie的Expires/Max-Age是否为7天后的时间。
• 可临时将Session的gc_maxlifetime设为60秒，等待会话过期后刷新页面，验证是否通过RememberMe自动重新登录。

内容的提问来源于stack exchange，提问作者Vincent Decaux