Сегодня по результатам дебатов команды экспертов в Symfony Security, была создана issue с описанием планов по рефакторингу компоненты.

Самые важные и интересные идеи:

1) Переименовать концепцию User в Principal в связи с тем, что аутентификация осуществляется не только пользователями (устройствами, сервисами и т.д.).
2) Выделить понятие Identity, на основании которого будет осуществляться авторизация.
3) Принципалы не должны знать о паролях и ролях (прощай, UserInterface).
4) Встроенная поддержка OAuth, JWT, двухфакторной аутентификации.
5) CSRF на уровне маршрутизации.
6) Больше событий (хуков).
7) Возможность контролировать доступ из объекта.

... и многое другое, подробнее в https://github.com/symfony/symfony/issues/30914