Symfony 4：删除用户角色后，access_control 不起作用

Question

我尝试通过删除他的角色（拒绝访问用户ROLE_MEMBER ），在这里我access_control在security.yaml文件：

access_control:
    - { path: ^/login, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https }
    #- { path: ^/register, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https }
    - { path: ^/admin/users, roles: ROLE_SUPER_ADMIN }
    - { path: ^/admin, roles: ROLE_ADMIN }
    - { path: ^/%locale%/.+/(edit|delete|add|request|accept|deny), roles: ROLE_MEMBER }

它似乎不起作用。 例如，用户仍然可以访问http://localhost:8000/fr/blog/edit/13并且当我在模板中显示这样的角色时：

{% for role in app.user.roles %}
    {{ role }}
{% endfor %}

我没有得到ROLE_MEMBER所以它被很好地删除了。 事实是我必须再次登录才能看到access_control工作。

我想知道用户存储在哪里（如该问题中提到的（答案的第 1 点） ）以及如何在不重新登录的情况下生效？