Spring Boot REST应用使用虚拟线程搭配Spring Security是否安全？

结论 #

在遵循Spring Security规范的前提下，使用虚拟线程处理需要认证授权的Spring Boot REST请求是安全的，不属于虚拟线程的使用陷阱。

核心依据 #

• Spring Security的ThreadLocal清理机制：FilterChainProxy会在请求处理完成后，主动清理ThreadLocal中存储的SecurityContext。这个逻辑对虚拟线程同样生效——虚拟线程的ThreadLocal拥有独立的副本空间，不会出现跨线程的上下文污染问题。
• 符合Oracle文档的合理用法：Spring Security通过ThreadLocal存储SecurityContext属于上下文信息（认证状态、用户身份）的传递，完全匹配Oracle文档中提到的ThreadLocal合理使用场景，不属于“缓存昂贵可复用对象”这类不推荐的用法。

注意事项 #

• 若自定义了额外的ThreadLocal变量，需确保在请求生命周期结束时完成清理（可借助Spring的请求拦截器或@PreDestroy等机制），避免内存泄漏。
• 虽然Scoped Values是更高效安全的上下文传递方案（Java 21+支持），但当前Spring Security尚未默认适配，继续使用ThreadLocal的实现是稳定且无风险的。

内容的提问来源于stack exchange，提问作者ROBLCSnail