如何定制SecurityContextPersistenceFilter的行为？

Question

我开发了一个利用基于令牌的身份验证的无状态REST API，其中我通过调用SecurityContextHolder.getContext（）. setAuthentication（身份验证）从自定义安全过滤器内手动将Authentication对象添加到安全上下文。我一直遇到上下文未正确设置的问题，我相信这是由于：

在请求之间存储SecurityContext

在单个会话中接收并发请求的应用程序中，相同的SecurityContext实例将在线程之间共享。尽管正在使用ThreadLocal，但从HttpSession中为每个线程检索的实例都是相同的。如果您希望临时更改线程运行的上下文，这会产生影响。如果你只是使用SecurityContextHolder。getContext（），并对返回的上下文对象调用setAuthentication（anAuthentication），则共享同一SecurityContext实例的所有并发线程中的身份验证对象都将更改。。。

您可以自定义SecurityContextPersistenceFilter的行为，为每个请求创建一个全新的SecurityContext，防止一个线程中的更改影响另一个线程。

所以问题是-如何改变SecurityContextPeristenceFilter的行为？

我希望安全上下文不与超文本传输协议会话相关联，但不希望将会话创建策略设置为无状态，因为我仍然希望实现CSRF保护等。

Answer 1

今天下午我有一个确切的问题，这个开放式问题与我的搜索完全匹配，所以我想我会补充我学到的一些东西。

我们的线程正在访问同一个SecurityContext。我无法弄清楚如何直接定制SecurityContextPersistenceFilter的行为（以及在框架模式中），但是有两种方法可以让它成为线程安全的。

第一个解决方案是确保在主身份验证过滤器中创建空上下文。这涵盖了我们所有经过身份验证的请求，因此它将适用于我们的解决方案。

SecurityContextHolder.createEmptyContext();

第二件对我有效的事情是将我们的WebSecurity配置更改为无状态，我知道这对OP不起作用，但为了完整性在这里添加了它。

http.authorizeRequests()
  .anyRequest().authenticated()
  .and()
  .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
  ...

这两种解决方案对于我们的特定配置都是独立工作的。我肯定有第三种解决方案会读得更好，但我不知道它是什么，但我想。

这是我第一次发帖。我欢迎任何反馈。