Spring Boot无HttpRequest/SecurityContextHolder时更新Redis存储的Session值

为什么直接操作RedisTemplate不生效？ #

1. 序列化器不匹配：RedisIndexedSessionRepository对Session属性的序列化有专属处理逻辑（默认使用JdkSerializationRedisSerializer），而自动配置的RedisTemplate操作Hash时，序列化规则可能和Spring Session的预期不一致，导致写入的SPRING_SECURITY_CONTEXT无法被正确识别，看起来像是没更新。
2. 绕过了Spring Session的持久化逻辑：Spring Session的save方法会处理Session版本号、lastAccessedTime更新，以及属性的序列化存储流程，直接操作Redis底层键值对跳过了这些步骤，即使修改了Hash值，Spring Session也无法感知到有效更新。

正确的实现方式：使用RedisIndexedSessionRepository的save方法 #

直接通过Spring Session提供的Repository API修改Session并触发持久化，不要绕开它直接操作Redis：

@RequiredArgsConstructor
@Service
public class RedisService {

    private final RedisIndexedSessionRepository sessionRepository;

    public void updateUserValue(String email) {
        Map<String, ? extends Session> sessions = sessionRepository.findByPrincipalName(email);

        if (sessions.isEmpty()) {
            throw new RuntimeException("No session found for principal: " + email);
        }

        for (Session session : sessions.values()) {
            SecurityContext securityContext = session.getAttribute("SPRING_SECURITY_CONTEXT");
            if (securityContext == null) {
                continue;
            }

            Authentication authentication = securityContext.getAuthentication();
            if (!(authentication.getPrincipal() instanceof ClientPrincipal)) {
                continue;
            }

            ClientPrincipal principal = (ClientPrincipal) authentication.getPrincipal();
            // 更新用户权限（建议用集合类型，避免单个对象的序列化问题）
            principal.setAuthorities(List.of(new CustomAuthority()));

            // 重新绑定Authentication到SecurityContext
            securityContext.setAuthentication(authentication);
            // 更新Session中的SecurityContext属性
            session.setAttribute("SPRING_SECURITY_CONTEXT", securityContext);
            // 关键：调用save方法让Spring Session处理Redis持久化
            sessionRepository.save(session);
        }
    }
}

额外注意事项 #

• 确保ClientPrincipal实现了Serializable接口，否则无法被Spring Session序列化到Redis中。
• 如果用户存在多设备登录的情况，遍历所有Session处理是合理的，但要注意并发修改的问题（比如添加简单同步逻辑，或依赖Redis的原子性操作）。
• 尽量避免直接操作Redis底层的Session存储结构，依赖Spring Session的API可以保证版本兼容性，减少后续维护成本。

备选方案：请求过滤器实时同步 #

如果需要在用户每次请求时自动同步最新的用户信息（比如权限经常在后台修改），可以实现一个OncePerRequestFilter：

1. 在过滤器中获取当前请求的SecurityContext。
2. 从数据库或其他权威存储拉取最新的用户权限信息。
3. 更新ClientPrincipal的权限，并重新设置到Authentication中。
4. 将更新后的SecurityContext同步到Session中。

这个方案适合需要实时感知用户信息变化的场景，但会增加每次请求的开销，可根据业务需求选择。

内容的提问来源于stack exchange，提问作者Darlyn