Spring Boot 3中CompletableFuture内SecurityContextHolder返回null问题咨询

核心原因 #

1. Spring Security 6的上下文传播逻辑调整
   Spring Boot 3对应Spring Security 6，对异步线程的安全上下文传播机制做了修改。在Spring Boot 2（Spring Security 5）中，若配置了DelegatingSecurityContextAsyncTaskExecutor作为全局AsyncTaskExecutor Bean，Spring会自动将其关联到所有异步执行场景，包括隐式触发的CompletableFuture，从而实现安全上下文的自动传递。但Spring Security 6中取消了这种自动绑定逻辑，自定义执行器不会再默认作用于原生CompletableFuture的调用。

2. CompletableFuture默认执行器的特性
   CompletableFuture.supplyAsync()默认使用JDK自带的ForkJoinPool.commonPool()，这个线程池不属于Spring管理范畴，不会自动继承或传播Spring的安全上下文。

• Spring Boot 2中，自定义的DelegatingSecurityContextAsyncTaskExecutor Bean被Spring自动配置为全局异步执行器，部分场景下会被隐式替代默认线程池，因此异步线程能拿到安全上下文。
• 迁移到Spring Boot 3后，移除该自定义执行器后，CompletableFuture完全使用JDK默认线程池，该线程池未被Spring安全上下文包装，自然无法获取到Authentication对象。

3. SecurityContextHolder的线程策略限制
   Spring Security默认采用MODE_THREADLOCAL策略，该策略下线程的上下文不会自动被子线程继承。Spring Boot 2中自定义执行器的DelegatingSecurityContext包装逻辑，本质是手动将父线程的安全上下文复制到异步线程；而Spring Boot 3中缺少这个包装步骤，异步线程无法继承父线程的安全上下文。

解决方案建议 #

• 显式传入Spring管理的安全上下文执行器
  重新创建DelegatingSecurityContextAsyncTaskExecutor Bean，并在supplyAsync调用时显式传入该执行器：

  @Bean
  public AsyncTaskExecutor securityContextExecutor() {
      return new DelegatingSecurityContextAsyncTaskExecutor(new SimpleAsyncTaskExecutor());
  }
  
  // 控制器中使用
  CompletableFuture.supplyAsync(() -> logic(), securityContextExecutor())
      .thenApply(it -> {
          Authentication auth = SecurityContextHolder.getContext().getAuthentication();
          // 业务逻辑
      });
  

• 改用Spring的@Async注解
  Spring的@Async会自动使用Spring管理的异步执行器，只要配置了DelegatingSecurityContextAsyncTaskExecutor，安全上下文会自动传播到异步方法中，无需手动处理线程池。

• 手动传递安全上下文
  在启动异步任务前捕获当前安全上下文，在异步线程中手动设置并在任务结束后清理：

  Authentication currentAuth = SecurityContextHolder.getContext().getAuthentication();
  CompletableFuture.supplyAsync(() -> {
      SecurityContextHolder.getContext().setAuthentication(currentAuth);
      try {
          return logic();
      } finally {
          SecurityContextHolder.clearContext();
      }
  })
  .thenApply(it -> {
      // 后续逻辑
  });
  

内容的提问来源于stack exchange，提问作者wvolfff