Проще надо быть :)

Добавляешь юзеру интерфейс, добавляешь метод и симфони сама будет юзеров разлогинивать

Ну например в каком нить jwt сесси вроде нет. Но там правда и "разлогинить" не получится, просто блок

Получится. Все делается.

В зависимости от версии - либо интерфейс подойдёт, либо дока скажет куда копать

В какое направление подумать? Что то не могу "дойти" ) jwt надо как то сделать невалидным или еще что-то для этого. Минимум надо передать команду во фронт.

Не нужно. Просто отзывается рефреш токен и все. Фронт сам увидит что жвт умер. Попробует получить новый и получит отлуп.

А дальше просто покажет форму логина. На логине проверят блокировку. Время реакции на блок будет равно времени жизни жвт что приемлемо

Ну т.е. это ен моментально. Дропаем рефреш, и только когда нужен будет рефреш - будет логаут

Аксес токен то все это время будет рабочим, пока не запросим обновление

Ок, собственно что написал выше :)

закодируй в жвт индекс какой нибудь, под которым креды версионируются.
при смене кредов - поднимаешь индекс. сравниваешь что индекс не свежий - значит кидаешь 403

можно дату, можно версию кредов (версионирование User если уж совсем утрировано)
вести учет выданых токенов необходимости нет

Ну проверять тогда надо будет во время действий заблокированного пользователя. Аксесс токен в базе то вроде не лежит, чтобы с ним мог работать админ.  Примерно что я предлагал - проверять при каждом запросе. Но это не оптимально.

с базы всеравно креды фетчатся, какая разница?

бандл-небандл, разницы нет, чтоб аутентифицировать - токен раскодируется и с базы фетчатся нужные креды, Если есть.
это всеравно делается.
помимо самого айдишника кредов - дополнительно засовываешь версию - оверхед какой тут есть?
с базы креды фетчатся, приплюсовать там версию оверхед есть? да тоже сомнительно.
получить с декодированого токена версию кредов с которыми он был закодирован - какой там оверхед?
или оверхед в if (tokenVersion != credsVersion) ?

не надумывай, нет там никакой "неоптимальности"

Единственное не понял в чем разница между этим вариантом и моим изначальным проверять блокировку у аутентифицированного пользователя.

блокировка не единственный кейс где может пригодиться инвалидация всех токенов.
"разлогиниться везде" тоже бывает нужно, а не только блокировка юзера полностью