使用Spring Security时，请求之间是否共享SecurityContext？

Question

在使用Spring Boot编写的rest API上使用基于无状态令牌的身份验证时，我看到了一些奇怪的行为。

客户机在每个请求中都包含一个JWT令牌，我编写的一个自定义过滤器扩展了GenericFilterBean，它使用以下内容将基于令牌中声明的身份验证对象添加到安全上下文中：

SecurityContextHolder.getContext().setAuthentication(authentication);

并在处理请求后通过执行以下操作清除上下文：

SecurityContextHolder.getContext().setAuthentication(null);

但是，当我开发的简单应用程序执行一系列操作时，我有时会看到安全上下文设置不正确——有时对于提供了令牌的请求来说它为空。过滤器被正确调用，setAuthencation（）也被调用，但请求身份验证失败，并抛出403拒绝。

如果我通过将会话创建策略设置为STATELESS来显式关闭任何超文本传输协议会话管理，则此行为会停止。

知道这里会发生什么吗？安全上下文是否在处理请求的线程之间以某种方式共享？

Answer 1

根据这里的官方文件，似乎可以共享上下文：http://docs.spring.io/spring-security/site/docs/3.1.x/reference/springsecurity-single.html

在单个会话中接收并发请求的应用程序中，相同的SecurityContext实例将在线程之间共享。尽管正在使用ThreadLocal，但从HttpSession中为每个线程检索的实例都是相同的。如果您希望临时更改线程运行的上下文，这会产生影响。如果你只是使用SecurityContextHolder。getContext（），并对返回的上下文对象调用setAuthentication（anAuthentication），则共享同一SecurityContext实例的所有并发线程中的身份验证对象都将更改。您可以自定义SecurityContextPersistenceFilter的行为，为每个请求创建一个全新的SecurityContext，防止一个线程中的更改影响另一个线程。或者，您可以在临时更改上下文的位置创建一个新实例。方法SecurityContextHolder。createEmptyContext（）总是返回一个新的上下文实例。