如何在Spring Security上下文并发安全地保存请求Header值

原有实现的问题 #

你当前用HandlerInterceptor配合静态变量存储Header值的方式，因为静态变量是全局共享的，多请求并发时会被互相覆盖，完全不满足并发安全要求。

基于Spring Security上下文的实现方案 #

利用SecurityContextHolder的ThreadLocal特性（每个线程独立持有上下文），将Header值存入Spring Security上下文，再通过静态工具类安全获取。

1. 定义Header信息封装类 #

用于类型安全地存储需要传递的Header值：

data class RequestHeaderDetails(
    val anonymousUserId: String?
)

2. 实现请求Filter处理Header #

用OncePerRequestFilter替代Interceptor，确保每个请求仅执行一次，将Header值存入Security上下文：

class HeaderSecurityFilter : OncePerRequestFilter() {
    override fun doFilterInternal(
        request: HttpServletRequest,
        response: HttpServletResponse,
        filterChain: FilterChain
    ) {
        // 从请求头获取目标值
        val anonymousUserId = request.getHeader("anonymous_user_id")

        // 构建或更新Authentication对象，存入Header信息
        val authentication = SecurityContextHolder.getContext().authentication?.let { existingAuth ->
            // 已有Authentication时，复制权限并替换details
            object : AbstractAuthenticationToken(existingAuth.authorities) {
                init {
                    isAuthenticated = existingAuth.isAuthenticated
                    principal = existingAuth.principal
                    details = RequestHeaderDetails(anonymousUserId)
                }
            }
        } ?: run {
            // 无Authentication时，创建匿名认证对象存入信息
            AnonymousAuthenticationToken(
                "anonymous",
                "anonymousUser",
                emptyList()
            ).apply {
                details = RequestHeaderDetails(anonymousUserId)
            }
        }

        // 更新Security上下文
        SecurityContextHolder.getContext().authentication = authentication

        // 继续执行请求链
        filterChain.doFilter(request, response)
    }
}

3. 配置Spring Security过滤链 #

将自定义Filter加入Spring Security的过滤流程：

@Configuration
@EnableWebSecurity
class SecurityConfig {
    @Bean
    fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http
            // 在用户名密码认证Filter前执行自定义Header处理Filter
            .addFilterBefore(headerSecurityFilter(), UsernamePasswordAuthenticationFilter::class.java)
            // 根据实际业务配置权限规则，这里示例允许所有请求
            .authorizeHttpRequests { auth ->
                auth.anyRequest().permitAll()
            }
        return http.build()
    }

    @Bean
    fun headerSecurityFilter(): HeaderSecurityFilter {
        return HeaderSecurityFilter()
    }
}

4. 编写静态工具类获取值 #

无需依赖注入，直接从Security上下文安全提取Header值：

class SecurityUtils private constructor() {
    companion object {
        fun getAnonymousUserId(): String? {
            val authentication = SecurityContextHolder.getContext().authentication ?: return null
            return (authentication.details as? RequestHeaderDetails)?.anonymousUserId
        }
    }
}

方案优势 #

• 并发安全：SecurityContextHolder默认使用ThreadLocal存储上下文，每个请求线程拥有独立的Header数据，不会互相干扰
• 符合Spring生态：复用Spring Security的上下文机制，无需额外维护自定义ThreadLocal变量
• 类型安全：通过自定义RequestHeaderDetails封装数据，避免类型转换错误

内容的提问来源于stack exchange，提问作者NeverSleeps