在 Symfony 应用中必须使用 UserPasswordEncoderInterface（或 5.3+ 的 PasswordHasherInterface），因其与认证流程深度耦合，手动调用 password_hash() 会导致登录静默失败、跨版本失效等问题。
用 password_hash() 还是 Symfony 的 UserPasswordEncoderInterface？
直接说结论：在 Symfony 应用里，别自己调 password_hash()，必须走 UserPasswordEncoderInterface（或 5.3+ 的 PasswordHasherInterface）。不是因为它“更高级”，而是 Symfony 的用户认证流程（比如登录、注册、密码重置）全程依赖它返回的哈希格式和验证逻辑——自己手写 password_hash('xxx', PASSWORD_ARGON2ID)，后续 checkCredentials() 会静默失败。
常见错误现象：login_check 返回 401 却没报错，数据库里密码看着像哈希但就是登不进去；或者换了个 PHP 版本，原来能登的账号全失效。
- Symfony 默认配置下，
UserPasswordEncoderInterface实际用的是NativePasswordHasher，底层才调password_hash()，但它会自动选算法、加盐、存完整哈希字符串（含算法标识、成本因子等） - 如果你硬要用
Argon2，得在security.yaml显式配algorithm: 'argon2i'或'argon2id'，不能只改 PHP 的password_hash()调用 - PHP 7.2+ 才原生支持
Argon2；低于这个版本，Symfony 会 fallback 到bcrypt，但你手动写的password_hash(..., PASSWORD_ARGON2ID)会直接报错
encodePassword() 调用时机和对象要求
加密动作必须发生在用户实体（比如 User 类）被持久化「之前」，且传入的必须是原始明文密码，不是已哈希过的字符串。
使用场景：注册表单提交后、管理员后台重置密码、API 创建用户接口。
- 典型误操作：在
__construct()里就调encodePassword($this, $plainPassword)—— 此时 Doctrine 还没生成 ID，如果哈希逻辑依赖$user->getId()（比如某些自定义盐），会出问题 - 正确位置：控制器里，拿到表单数据后、调
$entityManager->persist($user)前，例如：$user->setPassword($passwordEncoder->encodePassword($user, $plainPassword));
- 注意参数顺序：
encodePassword()第一个参数是$user实例（用于读取 salt 或其他上下文），第二个才是$plainPassword字符串；传反了会哈希出错但不报异常
数据库字段长度不够导致哈希被截断
bcrypt 哈希长度固定 60 字符，Argon2 可达 96–120 字符。如果数据库字段设成 VARCHAR(255) 看似够用，但实际可能因字符集（如 utf8mb4）多占字节，或 ORM 自动 trim 导致末尾丢失。
错误现象：登录时提示“密码错误”，查数据库发现存进来的哈希比正常短一截（比如只有 59 位），或者日志里出现 Invalid password hash format。
- MySQL 推荐用
VARCHAR(255) CHARACTER SET ascii COLLATE ascii_general_ci—— 强制 ASCII 编码，避免 UTF-8 多字节膨胀 - PostgreSQL 不用特别处理，
TEXT类型最稳，VARCHAR(255)也够（它按字符数算，不是字节数） - 千万别用
CHAR类型，空格填充会导致哈希验证失败
测试环境密码哈希行为不一致
开发时用 memory 用户提供器（in_memory）或测试专用用户，容易忽略哈希逻辑是否真被触发。线上跑着没问题，测试却登不上，往往是因为测试配置绕过了编码器。
典型配置坑：security.test 配置里写了 encoder: 但没指定类，或者用了 plaintext 编码器（仅限极简测试）。
- 检查
config/packages/test/security.yaml是否覆盖了主配置，尤其是encoders和password_hashers块 - 单元测试中想验证哈希逻辑，必须用真实编码器实例，不能 mock
encodePassword()返回固定值——那样测不出算法兼容性问题 - 运行测试前加一句
var_dump($passwordEncoder->encodePassword($user, 'test'));看输出是否符合预期格式（以$2y$、$argon2id$开头）
哈希这事看着就一行代码，但 Symfony 把算法选择、盐管理、格式兼容、验证路径全串起来了。漏掉任意一环，密码就变成“看起来存进去了，实际上谁也登不上”。
