必须使用 Symfony 内置密码哈希器（PasswordHasherInterface 或废弃的 UserPasswordEncoderInterface），禁止手动调用 password_hash()；算法通过 security.yaml 配置（如 bcrypt 或 argon2id），哈希须在持久化前完成，数据库字段至少 VARCHAR(255)。
在 Symfony 项目中加密用户密码，核心原则是：**必须交由框架内置的密码哈希器处理，不能手动调用 password_hash() 或自定义哈希逻辑**。否则会导致登录失败、跨环境不兼容、升级后账号失效等隐蔽问题。
必须使用 PasswordHasherInterface（5.3+）或 UserPasswordEncoderInterface（旧版）
Symfony 的认证流程（如 checkCredentials()）严格依赖哈希器返回的完整格式——包括算法标识、盐、成本因子、哈希值本身。手动哈希会丢失上下文，验证时直接静默失败。
- Symfony 5.3+ 推荐用
PasswordHasherInterface，它更清晰、可配置粒度更细 - 旧版本（如 4.4/5.2）仍可用
UserPasswordEncoderInterface，但已标记为废弃 - 两者底层都自动选算法、生成盐、拼接标准格式字符串（如
$2y$13$...或$argon2id$v=19$m=65536,t=4,p=1$...）
正确配置哈希算法（bcrypt / Argon2）
算法不是靠写死 PHP 函数决定的，而是通过 security.yaml 声明：
- 默认是 bcrypt（兼容性好，PHP 5.3+ 原生支持）
- 想用 Argon2（更抗暴力破解），需显式配置且确保 PHP ≥ 7.2：
security:
password_hashers:
App\Entity\User:
algorithm: 'argon2id'
# cost: 4 # 可选：时间成本（t）
# memory_cost: 65536 # 可选：内存成本（m）
# threads: 1 # 可选：并行度（p）- 不要在代码里写
password_hash($pwd, PASSWORD_ARGON2ID)—— 这绕过了 Symfony 的盐管理和验证逻辑 - 若 PHP 版本低于 7.2，Argon2 配置会 fallback 到 bcrypt，但手动调用
PASSWORD_ARGON2ID会直接报错
加密动作必须放在持久化前，且传参顺序不能错
哈希操作应在控制器中、保存用户到数据库之前完成：
- ✅ 正确示例（Symfony 6+）：
$hashed = $passwordHasher->hash($plainPassword, $user); $user->setPassword($hashed); // 再 persist & flush
- ❌ 错误做法：在实体
__construct()中哈希；或把$user和$plainPassword传反；或在persist()之后才哈希 - 注意：某些自定义哈希器可能依赖
$user->getId()（如基于 ID 生成盐），此时persist()后再哈希也不行，因为 ID 尚未生成
数据库字段长度要足够，避免哈希被截断
不同算法生成的哈希长度差异大：
- bcrypt：固定 60 字符（如
$2y$13$...） - Argon2i / Argon2id：通常 96–120 字符，取决于参数
- 务必设为
VARCHAR(255)或更长，并确认字符集（utf8mb4下单字符最多占 4 字节，但哈希是 ASCII，不受影响） - 常见错误：字段设为
VARCHAR(60)，存 bcrypt 看似够用，换 Argon2 后末尾被截断，导致验证永远失败
