SpringBoot中WebSocket注入Principal非空，SecurityContextHolder获取认证为空

核心原因 #

1. 线程上下文隔离：SecurityContextHolder默认采用MODE_THREADLOCAL策略，仅绑定当前线程的认证上下文。WebSocket的消息处理流程中，determineUser或入站拦截器执行的线程，和后续@MessageMapping控制器方法执行的线程大概率不是同一个（WebSocket默认用线程池处理消息），导致上下文无法传递。
2. Principal的来源不同：@MessageMapping方法中注入的Principal，是Spring WebSocket直接从WebSocketSession中提取的，和SecurityContextHolder的线程上下文完全无关，所以能正常获取。

解决方案 #

方案一：自定义通道拦截器同步上下文 #

通过自定义ChannelInterceptor，在每个入站消息处理前，从StompHeaderAccessor中取出认证信息并绑定到当前线程的SecurityContextHolder，处理完成后清理上下文（避免线程池复用导致的上下文污染）。

示例代码：

public class WebSocketSecuritySyncInterceptor implements ChannelInterceptor {
    @Override
    public Message<?> preSend(Message<?> message, MessageChannel channel) {
        StompHeaderAccessor accessor = MessageHeaderAccessor.getAccessor(message, StompHeaderAccessor.class);
        // 针对消息发送、订阅等核心命令同步上下文
        if (StompCommand.MESSAGE.equals(accessor.getCommand()) || StompCommand.SUBSCRIBE.equals(accessor.getCommand())) {
            Authentication auth = (Authentication) accessor.getUser();
            if (auth != null) {
                SecurityContextHolder.getContext().setAuthentication(auth);
            }
        }
        return message;
    }

    @Override
    public void postSend(Message<?> message, MessageChannel channel, boolean sent) {
        // 处理完成后清理上下文，防止线程池复用残留
        SecurityContextHolder.clearContext();
    }
}

在WebSocket配置类中注册拦截器：

@Override
public void configureClientInboundChannel(ChannelRegistration registration) {
    registration.interceptors(new WebSocketSecuritySyncInterceptor());
}

方案二：修改SecurityContextHolder策略（不推荐） #

将SecurityContextHolder的策略改为MODE_INHERITABLETHREADLOCAL，让子线程继承父线程的认证上下文。但该方案存在线程池上下文泄露风险（复用的线程可能残留之前的认证信息），仅适用于简单场景。

示例代码（在启动类/配置类中初始化）：

static {
    SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);
}

验证要点 #

确保在拦截器的preSend方法中，accessor.getUser()能正确获取到你在determineUser中设置的Authentication对象，否则需要检查Token解析和用户设置的逻辑是否正确。

内容的提问来源于stack exchange，提问作者trgjk yfojn