reactiveSecurityContextHolder.getContext（）为空，但@AuthenticationPrincipal有效

Question

SecurityContextHolder.getContext().getAuthentication();

ReactiveSecurityContextHolder.getContext().map(ctx -> ctx.getAuthentication()).block()

试图从控制器或组件访问这些代码将解析为null。我有些怀疑我是否真的在自定义管理器中返回了身份验证实例，看起来我是：

@Override
public Mono<Authentication> authenticate(final Authentication authentication) {
    if (authentication instanceof PreAuthentication) {
        return Mono.just(authentication)
            .publishOn(Schedulers.parallel())
            .switchIfEmpty(Mono.defer(this::throwCredentialError))
            .cast(PreAuthentication.class)
            .flatMap(this::authenticatePayload)
            .publishOn(Schedulers.parallel())
            .onErrorResume(e -> throwCredentialError())
            .map(userDetails -> new AuthenticationToken(userDetails, userDetails.getAuthorities()));
    }

    return Mono.empty();
}

其中PreAuthenticationToken是AbstractAuthenticationToken和AuthenticationToken扩展UsernamePasswordAuthenticationToken的实例

有趣的是，尽管reactiveSecurityContextHolder.getContext().map(ctx->ctx.getAuthentication()).block()不能在控制器中工作，但我可以将身份验证主体与@AuthenticationPrincipal注释作为方法参数成功地注入控制器中。

这似乎是一个配置问题，但我不知道在哪里。有人知道为什么我不能返回身份验证吗？

Answer 1

由于您使用的是WebFlux，所以您使用事件循环处理请求。您不再像Tomcat那样使用每个请求的线程模型。

身份验证是按上下文存储的。

使用Tomcat，当请求到达时，Spring将身份验证存储在SecurityContextholder中。SecurityContexTholder使用ThreadLocal变量存储身份验证。只有当您试图从设置特定身份验证对象的同一线程中的ThreadLocal对象获取该对象时，特定身份验证对象才对您可见。这就是为什么您可以通过静态调用在controller中获得身份验证。ThreadLocal对象知道要返回给您什么，因为它知道您的上下文--您的线程。

返回一个reactive-chain from方法，即发出reactiveSecurityContextHolder.getContext()调用。

因为您返回的是一个反应操作符链，所以Spring会对您的链进行订阅，以便执行它。当Spring这样做时，它为整个链提供了一个安全上下文。因此，该链中的每个reactiveSecurityContextHolder.getContext()调用都将返回预期的数据。

您可以在这里阅读更多关于单核/通量上下文的信息，因为它是Reactor特有的特性。