Spring Boot 3.2.2升级后异步接口丢失Security Context问题求助

问题原因分析 #

• Security上下文传播机制变更：Spring Security 6.x（对应Boot 3.x）对异步线程的上下文传播逻辑做了调整。Boot 2.7默认使用MODE_THREADLOCAL，而异步任务的子线程无法直接继承该模式下的上下文；3.x中若未显式配置可继承的上下文策略，异步线程会丢失Security Context。
• 自定义过滤器适配问题：你的CookieJwtTokenFilter可能未适配Boot 3.x的异步请求处理逻辑——异步请求会切换线程执行，若过滤器未开启asyncSupported，或注册顺序不正确，新线程不会经过过滤器，自然无法设置Security Context。
• WebFlux与Servlet异步上下文差异：返回Mono的接口依赖Reactor线程模型，Security Context在Reactor上下文的绑定逻辑在3.x中有变化。若项目是WebMvc混合WebFlux架构，未正确绑定Security Context到Reactor Context，会导致异步反应式接口丢失认证信息。
• 无状态配置兼容性：Boot 3.x中SessionCreationPolicy.STATELESS的生效逻辑与2.7不同，若未配合正确的SecurityContextRepository配置，异步线程无法获取父线程的上下文。

解决线索 #

• 配置可继承的SecurityContextHolder策略：在项目启动时设置上下文模式为MODE_INHERITABLETHREADLOCAL，让异步子线程能继承父线程的Security Context：

  @PostConstruct
  public void initSecurityContextStrategy() {
      SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);
  }
  

• 调整自定义过滤器的异步支持：在CookieJwtTokenFilter上添加@WebFilter(asyncSupported = true)注解，或在Security配置中注册过滤器时显式开启异步支持：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http.addFilterBefore(cookieJwtTokenFilter(), UsernamePasswordAuthenticationFilter.class)
          .asyncRequestProcessing(async -> async.asyncSupported(true))
          // 其他配置...
  }
  

• 适配Reactor上下文传播（针对Mono接口）：添加ReactorContextWebFilter或自定义WebFilter，将Servlet线程的Security Context绑定到Reactor Context中：

  @Bean
  public WebFilter reactorContextWebFilter() {
      return (exchange, chain) -> {
          SecurityContext context = SecurityContextHolder.getContext();
          return chain.filter(exchange)
              .contextWrite(ctx -> ctx.put(SecurityContext.class, context));
      };
  }
  

  同时在Reactive接口中通过Reactor Context获取Security Context，而非直接使用SecurityContextHolder：

  public Mono<List<LogicInfoMMResponseDTO>> getLogics() {
      return Mono.deferContextual(ctx -> {
          SecurityContext securityContext = ctx.get(SecurityContext.class);
          // 业务逻辑...
      });
  }
  

• 验证无状态配置的正确性：确保Security配置中使用NullSecurityContextRepository配合无状态会话，避免会话相关的上下文存储干扰：

  http.securityContextRepository(new NullSecurityContextRepository())
      .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
  

• 调试上下文传播链路：在过滤器、接口方法中打印线程ID和Security Context内容，确认上下文是否从父线程传递到异步线程：

  // 过滤器中
  System.out.printf("Filter Thread ID: %d, SecurityContext: %s%n", 
      Thread.currentThread().getId(), SecurityContextHolder.getContext());
  
  // 异步接口中
  System.out.printf("Async Thread ID: %d, SecurityContext: %s%n", 
      Thread.currentThread().getId(), SecurityContextHolder.getContext());
  

• 检查自定义Executor的上下文传播：若手动使用CompletableFuture并指定了自定义Executor，需用DelegatingSecurityContextExecutor包装，确保上下文能传播到异步线程：

  Executor delegatedExecutor = new DelegatingSecurityContextExecutor(customExecutor);
  CompletableFuture<String> asyncResult = CompletableFuture.supplyAsync(() -> {
      // 业务逻辑
  }, delegatedExecutor);
  

内容的提问来源于stack exchange，提问作者Icarium