Symfony密码哈希与重置是共享哈希器、字段和验证逻辑的闭环系统；必须使用PasswordHasherInterface而非password_hash()，encodePassword参数顺序不可颠倒，数据库字段推荐VARCHAR(512)，迁移靠migrate_from配置，重置需正确提取token并持久化存储。
Symfony 的密码哈希和重置不是两个独立流程，而是共享同一套哈希器、同一字段、同一验证逻辑的闭环系统。用错哈希方式（比如手动 password_hash()）或漏掉 token 字符串提取（$resetToken->getToken()），都会导致登录失败或重置链接 404。
密码哈希必须走 PasswordHasherInterface，不能手写 password_hash()
手动调 password_hash() 看似能生成字符串，但 Symfony 登录时会静默失败——因为 checkCredentials() 依赖哈希器返回的完整格式（含算法标识、盐、成本参数），而原生函数不保证与当前配置一致。
-
encodePassword($user, $plainPassword)第一个参数必须是用户实体，第二个才是明文；传反了不会报错，但哈希结果无效 - 哈希动作必须在
$entityManager->persist($user)之前完成；在__construct()或生命周期回调里做，可能因$user->getId()为空导致自定义盐逻辑崩掉 - 数据库字段推荐
VARCHAR(512)；argon2id哈希最长可达 120 字符，utf8mb4下VARCHAR(255)实际可用字节更少，容易截断
密码升级靠 migrate_from，不是批量更新
从 bcrypt 迁移到 argon2id 不需要跑脚本改所有用户数据，只要在 security.yaml 配好迁移链，用户下次登录就自动完成。
- 配置示例：
algorithm: 'argon2id'+migrate_from: ['bcrypt']；旧哈希验证成功后，新哈希立刻写回数据库password字段 - 只支持标准算法迁移（
bcrypt/argon2/pbkdf2）；如果遗留的是SHA1+salt拼接，得自己实现PasswordHasherInterface，在verify()里识别并校验 - 别查日志确认是否生效：登录后立刻
SELECT password FROM user WHERE id = ?，看是否变成以$argon2id$开头；dev 环境日志里会有Hash migrated from "bcrypt" to "argon2id"
重置密码链接发不出 / 点不开，90% 是传输器或 token 提取问题
邮件“发送成功”但收不到，大概率是 MAILER_DSN=null:// 在起作用；链接点开报 Invalid or expired token，往往是因为没用 $resetToken->getToken() 提取字符串。
- 开发时配
MAILER_DSN=file:///tmp/mail，发完直接去/tmp/mail看 .eml 文件内容，比猜配置快得多 - 模板里必须写
{{ url('app_reset_password', {token: resetToken.getToken()}) }}；写成{token: resetToken}会传空字符串，因为ResetPasswordToken::__toString()默认返回空 -
validateResetTokenAndUser($token, $user)要求$user是 Doctrine 管理的实体；如果从 API 或缓存加载用户，得先用$userRepository->find($user->getId())拉一次数据库
不用 FOSUserBundle 也能安全重置，但关键点不能省
FOSUserBundle 只是把路由、表单、邮件模板打包好了，底层仍走 Symfony 原生的 ResetPasswordHelperInterface 和 PasswordHasherInterface。自己实现时，最容易漏的是 token 存储绑定和过期时间对齐。
-
reset_password.request_password_reset_token.expiration_time单位是秒，设成3600表示 1 小时；这个值要和邮件模板里的提示文字一致 - 生成 token 后必须持久化到数据库（如
reset_password_request表），字段含user_id、selector、hashed_token、expires_at；否则validateResetTokenAndUser()查不到记录 - 重置成功后，记得清掉旧 token 记录，避免重复使用；
$entityManager->remove($tokenEntity)+$entityManager->flush()
真正麻烦的从来不是写几行哈希代码，而是哈希器、数据库字段、邮件传输器、token 存储、验证逻辑这五者之间的时间差和格式对齐——任何一个环节脱节，用户就会卡在“明明输对了密码却登不进去”或者“链接点开就 404”。
