Spring Security中动态设置SecurityContextHolderStrategy的正确方法

Spring Security 5.6+版本中，AbstractSecurityInterceptor会在初始化阶段直接初始化并缓存SecurityContextHolderStrategy实例：

private SecurityContextHolderStrategy securityContextHolderStrategy = SecurityContextHolder.getContextHolderStrategy();

这导致无法像旧版本那样通过SecurityContextHolder.setStrategyName(...)动态切换策略——拦截器一旦初始化就持有固定的策略引用，后续修改全局策略不会影响已初始化的拦截器。而你的场景需要不同服务使用不同策略，且策略信息要在Bean初始化完成后的业务逻辑中才能确定，现有方案（系统属性传递、GlobalMethodSecurityConfiguration扩展、Bean后置处理器）均无法满足动态分服务切换的需求。

以下是几个更适配场景的实现思路：

1. 自定义动态策略代理类 #

实现一个SecurityContextHolderStrategy的代理类，内部不持有固定策略实例，而是在每次调用方法时动态获取当前服务对应的策略：

public class DynamicSecurityContextHolderStrategy implements SecurityContextHolderStrategy {
    // 用ThreadLocal存储当前线程/服务对应的策略，也可从业务上下文获取
    private static final ThreadLocal<SecurityContextHolderStrategy> CURRENT_STRATEGY = new ThreadLocal<>();

    public static void setCurrentStrategy(SecurityContextHolderStrategy strategy) {
        CURRENT_STRATEGY.set(strategy);
    }

    public static void clearCurrentStrategy() {
        CURRENT_STRATEGY.remove();
    }

    @Override
    public void clearContext() {
        getCurrentStrategy().clearContext();
    }

    @Override
    public SecurityContext getContext() {
        return getCurrentStrategy().getContext();
    }

    @Override
    public void setContext(SecurityContext context) {
        getCurrentStrategy().setContext(context);
    }

    @Override
    public SecurityContext createEmptyContext() {
        return getCurrentStrategy().createEmptyContext();
    }

    private SecurityContextHolderStrategy getCurrentStrategy() {
        SecurityContextHolderStrategy strategy = CURRENT_STRATEGY.get();
        if (strategy == null) {
            // 兜底默认策略，可根据实际场景调整
            return SecurityContextHolder.getContextHolderStrategy();
        }
        return strategy;
    }
}

在Spring初始化时，将全局策略设置为这个代理类：

@PostConstruct
public void initDynamicStrategy() {
    SecurityContextHolder.setStrategyName(DynamicSecurityContextHolderStrategy.class.getName());
}

后续在业务逻辑确定服务对应的策略后，在服务入口的过滤器、拦截器或业务方法中，通过DynamicSecurityContextHolderStrategy.setCurrentStrategy(...)为当前线程绑定对应策略即可。这种方式下，AbstractSecurityInterceptor持有代理类实例，每次调用都会动态获取当前服务的策略。

2. 为不同服务创建独立拦截器实例 #

如果不同服务的方法安全规则完全隔离，可以为每个服务单独配置MethodSecurityInterceptor，待业务逻辑确定策略后，为对应拦截器设置专属策略：

@Configuration
public class MultiServiceSecurityConfig {
    // 预定义所有可能用到的策略Bean
    @Bean
    public SecurityContextHolderStrategy serviceAStrategy() {
        return new YourCustomStrategyA();
    }

    @Bean
    public SecurityContextHolderStrategy serviceBStrategy() {
        return new YourCustomStrategyB();
    }

    // 为服务A创建专属方法安全拦截器
    @Bean
    public MethodSecurityInterceptor serviceASecurityInterceptor(MethodSecurityMetadataSource metadataSource) {
        MethodSecurityInterceptor interceptor = new MethodSecurityInterceptor();
        interceptor.setMethodSecurityMetadataSource(metadataSource);
        // 先设置默认策略，后续业务逻辑中替换
        interceptor.setSecurityContextHolderStrategy(SecurityContextHolder.getContextHolderStrategy());
        return interceptor;
    }

    // 同理创建服务B的专属拦截器...
}

待业务逻辑确定服务对应的策略后，通过ApplicationContext获取对应服务的拦截器实例，调用setSecurityContextHolderStrategy(...)绑定专属策略即可。这种方式适合服务间安全规则完全独立的场景。

3. 扩展AbstractSecurityInterceptor实现动态策略获取 #

自定义AbstractSecurityInterceptor的子类，重写策略获取逻辑，每次拦截方法调用时动态获取当前服务的策略，而非缓存固定实例：

public class DynamicAbstractSecurityInterceptor extends AbstractSecurityInterceptor {
    @Override
    protected SecurityContextHolderStrategy getSecurityContextHolderStrategy() {
        // 自定义逻辑：从上下文获取当前服务标识，比如请求头、ThreadLocal等
        String currentServiceId = getCurrentServiceId();
        // 根据服务标识从容器中获取对应策略Bean
        ApplicationContext context = ApplicationContextProvider.getApplicationContext();
        return context.getBean(currentServiceId + "SecurityStrategy", SecurityContextHolderStrategy.class);
    }

    // 自定义方法：获取当前服务标识
    private String getCurrentServiceId() {
        // 示例：从ThreadLocal获取服务ID，实际可根据业务场景调整
        return ServiceContextHolder.getCurrentServiceId();
    }
}

在配置中替换默认的MethodSecurityInterceptor为这个自定义子类，这样每次拦截方法调用时，都会动态获取当前服务对应的策略。

• 动态代理类：侵入性最低，无需修改Spring Security默认配置，适合大多数场景，尤其是服务间策略切换频繁的情况。
• 独立拦截器实例：适合服务间安全规则完全隔离的场景，配置清晰，但需要为每个服务单独配置拦截器。
• 扩展AbstractSecurityInterceptor：需要替换默认拦截器，侵入性稍高，但策略获取逻辑更灵活。

内容的提问来源于stack exchange，提问作者R Chinmay