Symfony密码升级通过MigratingPasswordHasher实现，用户下次登录时自动将旧哈希（如bcrypt）验证并迁移到新算法（如argon2id），无需批量重设；需在security.yaml中配置migrate_from、确保密码字段足够长（推荐VARCHAR(512)），并依赖认证流程自动触发迁移。
Symfony密码升级不是重设所有用户密码，而是让旧哈希在用户下次登录时自动转成更安全的新格式。核心靠 MigratingPasswordHasher，它在验证旧密码的同时完成重哈希并存回数据库。
启用迁移哈希器配置
在 config/packages/security.yaml 中为用户实体指定新算法，并声明可兼容的旧算法：
password_hashers: App\Entity\User: algorithm: 'argon2id' migrate_from: ['bcrypt']
这样配置后，当用户用旧 bcrypt 密码登录，系统会验证成功、自动生成 argon2id 哈希，并更新数据库中该用户的 password 字段。
确保数据库字段足够长
Argon2 哈希最长可达 120 字符，而 bcrypt 固定 60 字符。若字段仍是 VARCHAR(255) 但用了 utf8mb4 字符集，实际存储容量可能不足。
- 推荐将密码字段设为
VARCHAR(512)或更大，避免截断 - 执行迁移前检查现有哈希长度：
SELECT LENGTH(password) FROM user LIMIT 5; - 如发现长度异常（如只有 59 或 60），大概率是被截断，需扩容字段再运行
doctrine:migrations:diff
验证迁移是否生效
迁移不是一次性批量操作，而是按需触发。可通过以下方式确认行为正常：
- 用一个已知 bcrypt 哈希的账号登录，登录成功后立刻查数据库，观察 password 字段是否变为以
$argon2id$开头 - 查看日志（dev 环境）：若看到类似
Hash migrated from "bcrypt" to "argon2id"的消息，说明迁移逻辑已运行 - 不建议手动调用迁移逻辑——它由
UserPasswordHasherInterface::hashPassword()和认证流程内部自动协调
处理多级迁移或遗留算法
如果用户密码来源复杂（如早期用过 SHA1、MD5 或自定义 salt 拼接），不能直接写进 migrate_from 列表——Symfony 原生只支持迁入 bcrypt/argon2/pbkdf2 等标准格式。
- 对非标准旧哈希，需自定义
PasswordHasherInterface实现，在verify()方法中识别旧格式并校验；校验通过后返回true并主动调用新哈希器更新密码 - 可在用户实体的 setter 中加判断：
if ($this->isLegacyHash($password)) { $this->password = $newHasher->hash($plain); } - 避免在构造函数或生命周期回调中做哈希操作，防止 ID 未生成或 ORM 状态异常
