以编程方式使用不同的Spring Security权限重新登录用户

Question

PreReq：
用户登录并被赋予使用userService的自定义实现从数据库中获得的角色。即

身份验证提供商用户服务ref=“securityPolicyService”

调用已实现的方法loadUserByUsername，并为用户加载他们登录的特定俱乐部的角色，默认情况下第一次加载。

然后，用户点击与UI不同的俱乐部，我调用服务上的一个方法，该方法获取该俱乐部的新权限列表。

然后我执行以下操作：

Object principle = SecurityContextHolder.getContext().getAuthentication().getPrincipal();
SecureMember sm = (SecureMember) principle;
Authentication auth = 
      new UsernamePasswordAuthenticationToken(sm, null, newAuthories); <br><br>
    SecurityContextHolder.getContext().setAuthentication(auth);<br>
request.getSession(false).invalidate();

SecureMember从SpringFramework扩展了用户。

问题是，会员机构从未更新过新的机构。

谢谢加里

Answer 1

如果HttpSession为null并且在请求期间被无效，Spring Security不会存储安全上下文，因此如果您在会话无效后设置上下文（并且不创建新会话），那么它将不会被存储。

如果是这种情况，您应该会看到此日志消息（并且已启用调试日志记录）。

创建一个新会话，或者不要使原来的会话无效。