[Symfony] Izolacja kont dla organizacji i aktualizacja tokenStorage Opcje

[mundeck]

Mam aplikację, w której każdy User może należeć do wielu Grup, a każda Grupa może mieć wielu Userów. Jeśli User się loguje, to tylko na konkretną Grupę, żeby w danej sesji nie mógł modyfikować danych innej grupy, nawet tej, do której należy. O tym, na którą Grupę w danym momencie się loguje, decyduje pole default_group, które jednakowoż może być zmienione, tak żeby przy następnym logowaniu można było zalogować się na inną Grupę, albo zeswitchować się na inną w trakcie sesji. Problem w tym, że o ile User jest oczywiście przechowywany w tokenStorage, o tyle Grupa za żadne skarby nie chce się tam zapisać. Korzystam z UserAuthenticatora, którego metoda authenticateToken zwraca token - w tym przypadku mój własny, do którego dodałem pole $group i wstawiłem tam obiekt Grupy (tej defaultowej dla tego Usera). Ale już po zalogowaniu to pole tokena ma wartość null. Domyślam się, że token jest w jakiś sposób regenerowany, ale np. przechowywane są atrybuty, a dlaczego pola już nie - nie mam pojęcia. Z atrybutem tokena też jest dziwna sprawa, bo teoretycznie powinien przechować obiekt, a go nie przechowuje. Trzyma tylko stringa. Mógłbym na jego podstawie zregenerować tokena już po zalogowaniu, pobierając obiekt Group, ale nie wiem czy to do końca wydajne rozwiązanie.
Może jest jakiś lepszy pomysł, jak zapewnić tego rodzaju izolację?

[mundeck]

Sam już wpadłem na to, żeby zapisywać to w bazie, ale początkowo chciałem uniknąć takiego rozwiązania, bo nie po to jest sesja, żeby zapisywać to w bazie. To dane sesyjne powinny określać, kto na jakie konto, z jakimi uprawnieniami do jakich zasobów jest zalogowany w danej chwili.
Jeśli chodzi o voterów, to właśnie ten mechanizm wydaje mi się przekombinowany.. Podobnie jak działanie Security w Symfony, które nawet w przypadku gdybym przełączył się na inną grupę, wylogowuje mnie, ponieważ zmieniły się dane Usera (np. pole "group_id" przybrało inną wartość). Pytanie teraz, jak zrobić, żeby przelogowanie następowało automatycznie, żeby user nie był zmuszony wpisywać hasło. Chodzi przecież nie o przelogowanie się na inne konto usera, tylko inną grupę.