Spring Security and @Async (Authenticated Users mixed up)

Question

我使用@Async与Spring异步调用该方法。该方法调用其他以Spring Security Annotation @PreAuthorize注释的方法。为了使授权有效，我必须将SecurityContextHoldermode 设置为MODE_INHERITABLETHREADLOCAL，以便将身份验证信息传递到异步调用。到目前为止一切正常。

但是，当我注销并以其他用户身份登录时，在异步方法SecurityContextHolder中存储了已注销的旧用户的身份验证信息。当然，这会导致意外的AccessDenied异常。同步调用没有这种问题。

我已经定义了<task:executor id="executors" pool-size="10"/>，所以一旦执行程序池中的线程已初始化，就不会覆盖身份验证信息，这可能是一个问题吗？

Answer 1

我猜想MODE_INHERITABLETHREADLOCAL线程池不能正常工作。

作为一种可能的解决方案，你可以尝试继承ThreadPoolTaskExecutor并覆盖其方法以进行SecurityContext手动传播，然后声明该executor而不是<task:executor>，如下所示：

public void execute(final Runnable r) {
    final Authentication a = SecurityContextHolder.getContext().getAuthentication();

    super.execute(new Runnable() {
        public void run() {
            try {
                SecurityContext ctx = SecurityContextHolder.createEmptyContext();
                ctx.setAuthentication(a);
                SecurityContextHolder.setContext(ctx);
                r.run();
            } finally {
                SecurityContextHolder.clearContext();
            }
        }
    });
}