Spring Security 6中获取已认证用户详情及升级后null问题解决

一、核心问题：认证方法返回null导致SecurityContext未初始化 #

Spring Security 6对AuthenticationProvider#authenticate方法的行为做了严格约束：认证失败时不能返回null，必须抛出AuthenticationException子类（比如BadCredentialsException）。你的代码里认证失败直接返回null，这会让Spring Security无法正确处理认证结果，自然不会把认证成功的Authentication对象存入SecurityContextHolder，后续获取时就会得到null。

修改你的认证方法：

public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    
    String name = authentication.getName();
    String password = authentication.getCredentials().toString();

    User user = authenticationDAO.getUser(name);

    if (user != null && encoder.matches(password, user.getPassword())) {
        List<String> roles = authenticationDAO.getRoles(user.getId());

        List<GrantedAuthority> authorities = new ArrayList<>();

        if (roles != null) {
            for (String role : roles) {
                authorities.add(new SimpleGrantedAuthority(role));
            }
        }

        return new UsernamePasswordAuthenticationToken(name, password, authorities);
    }

    // 认证失败抛出异常，不要返回null
    throw new BadCredentialsException("用户名或密码错误");
}

二、Spring Security 6中获取当前用户的正确方式 #

1. SecurityContextHolder（修复认证后即可正常使用） #

你写的getAuthenticatedUser方法逻辑本身没问题，但要注意必须在请求线程内调用。Spring Security默认用ThreadLocalSecurityContextHolderStrategy，Authentication对象存在当前请求线程的ThreadLocal里，别在异步线程或非请求线程里调用这个方法。

2. 直接注入Authentication（更推荐） #

在Spring MVC控制器或Bean里，可以直接注入Authentication对象，Spring会自动从SecurityContext里取当前用户：

@Controller
public class UserController {

    @GetMapping("/current-user")
    @ResponseBody
    public String getCurrentUser(Authentication authentication) {
        if (authentication == null || AnonymousAuthenticationToken.class.isAssignableFrom(authentication.getClass())) {
            return null;
        }
        return authentication.getName();
    }
}

3. 使用@AuthenticationPrincipal注解 #

如果只需要用户名或用户对象，用@AuthenticationPrincipal能简化代码：

@Controller
public class UserController {

    @GetMapping("/current-username")
    @ResponseBody
    public String getCurrentUsername(@AuthenticationPrincipal String username) {
        // 已登录时username是当前用户名，未登录则为null
        return username;
    }
}

三、额外检查项 #

• 确认Spring Security配置类加了@EnableWebSecurity，并且正确注册了你的自定义AuthenticationProvider。
• 检查请求是否经过Spring Security过滤器链，比如静态资源或某些路径是否被排除在安全过滤外，导致SecurityContext没初始化。
• 确保SecurityContextHolder策略配置正确，Spring Security 6默认用MODE_THREADLOCAL，如果手动改过策略可能出问题。

内容的提问来源于stack exchange，提问作者Matt