使用JWT获取认证用户实例的正确方式（无需传ID/用户名）

你的原有实现存在重复造轮子、代码冗余且安全性不足的问题，正确的做法是利用Spring Security内置的认证上下文机制，无需手动解析token。下面是两种常用的实现方案：

方案一：使用@AuthenticationPrincipal注解（推荐） #

Spring Security提供了@AuthenticationPrincipal注解，可以直接在Controller方法参数中注入当前认证用户的信息，前提是你的用户类实现了UserDetails接口（或自定义了认证主体）。

代码示例 #

Controller层

@DeleteMapping
public ResponseEntity<?> deleteStudent(@AuthenticationPrincipal UserDetails userDetails) {
    // 从UserDetails中获取token对应的用户名/邮箱
    studentService.deleteStudent(userDetails.getUsername());
    return ResponseEntity.noContent().build();
}

Service层

public void deleteStudent(String email) {
    // 通过邮箱查询用户并执行删除
    Student student = studentRepository.findByEmail(email)
            .orElseThrow(() -> new RuntimeException("该用户不存在"));
    studentRepository.delete(student);
}

如果你的Student实体类直接实现了UserDetails，还可以更简洁地直接注入用户实例：

// Controller层
@DeleteMapping
public ResponseEntity<?> deleteStudent(@AuthenticationPrincipal Student currentStudent) {
    studentService.deleteStudent(currentStudent);
    return ResponseEntity.noContent().build();
}

// Service层
public void deleteStudent(Student student) {
    studentRepository.delete(student);
}

方案二：通过SecurityContextHolder直接获取认证信息 #

在Service或其他组件中，可以直接从Spring Security的上下文容器中取出当前认证用户的信息，无需在Controller层传递任何参数。

代码示例 #

Service层

public void deleteStudent() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    
    // 校验用户是否已认证
    if (authentication == null || !(authentication.getPrincipal() instanceof UserDetails)) {
        throw new RuntimeException("未认证用户无法执行此操作");
    }
    
    UserDetails userDetails = (UserDetails) authentication.getPrincipal();
    String email = userDetails.getUsername();
    
    Student student = studentRepository.findByEmail(email)
            .orElseThrow(() -> new RuntimeException("该用户不存在"));
    studentRepository.delete(student);
}

Controller层

@DeleteMapping
public ResponseEntity<?> deleteStudent() {
    studentService.deleteStudent();
    return ResponseEntity.noContent().build();
}

原有实现的问题分析 #

• 重复造轮子：Spring Security已经封装了JWT解析、认证校验的完整逻辑，手动处理token容易遗漏过期校验、签名验证等安全环节
• 代码冗余：每个需要获取用户信息的接口都要重复处理Authorization头，代码复用性差
• 职责不清晰：Controller层本应专注于请求响应处理，却承担了token解析的非核心职责

前置要求 #

要使用上述方案，需确保你的Spring Security JWT配置正确：

• 配置JWT过滤器，在请求到达Controller前完成token解析、用户认证，并将认证信息存入SecurityContextHolder
• 自定义UserDetailsService，实现根据用户名/邮箱查询用户并返回UserDetails实例的逻辑

内容的提问来源于stack exchange，提问作者Gerónimo González Martino