Spring Boot 2.6.3 Reactive WebFlux中Spring Security上下文获取问题：已授权请求无法解析用户Principal

你的问题其实是Reactive Spring Security环境下常见的上下文传递问题——虽然@PreAuthorize校验通过了说明认证信息已经存在，但ServerWebExchange.getPrincipal()并不是最可靠的获取方式，因为在Reactive异步流程中，认证上下文是通过Reactor Context传递的，而ServerWebExchange的Principal可能没有被及时绑定。

这里有两种最可靠的解决方案：

方案一：直接注入Principal/Authentication到方法参数 #

Spring WebFlux会自动从Reactive Security上下文中解析出认证信息，直接把它作为方法参数注入是最简单的方式：

@RestController
public class MyWebResource implements MyWebResourceApi {
    @PreAuthorize("hasRole('ROLE_USER')")
    @Override
    public Mono<String> details(String userId, ServerWebExchange exchange, Principal principal) {
        // 直接使用principal，无需从exchange获取
        return Mono.just(principal.getName());
    }
}

如果需要更详细的认证信息（比如权限、用户属性），可以直接注入Authentication对象：

@PreAuthorize("hasRole('ROLE_USER')")
@Override
public Mono<String> details(String userId, ServerWebExchange exchange, Authentication authentication) {
    // 可以获取用户名、权限等信息
    String username = authentication.getName();
    Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();
    return Mono.just(username);
}

方案二：通过ReactiveSecurityContextHolder手动获取上下文 #

如果你的业务逻辑需要在方法内部灵活获取认证信息，推荐使用ReactiveSecurityContextHolder，它是Reactive环境下访问Security上下文的标准入口：

import org.springframework.security.core.context.ReactiveSecurityContextHolder;
import org.springframework.security.core.context.SecurityContext;

@RestController
public class MyWebResource implements MyWebResourceApi {
    @PreAuthorize("hasRole('ROLE_USER')")
    @Override
    public Mono<String> details(String userId, ServerWebExchange exchange) {
        return ReactiveSecurityContextHolder.getContext()
                .map(SecurityContext::getAuthentication)
                .map(Authentication::getName);
    }
}

为什么ServerWebExchange.getPrincipal()会失效？ #

在Reactive OAuth2资源服务器（尤其是Opaque Token模式）中，认证成功后，Spring Security会把Authentication对象存入Reactor Context（通过ReactiveSecurityContextHolder管理），而ServerWebExchange.getPrincipal()其实是尝试从这个上下文里读取，但在某些异步执行场景下，上下文传递可能出现延迟，导致你调用时还未完成绑定。而上面两种方案都是直接基于Reactor Context的，能保证在异步流程中正确获取到认证信息。

另外，确认你的ReactiveOpaqueTokenIntrospector实现是正确的——它需要正确解析令牌并返回包含用户信息的Authentication对象，不过从@PreAuthorize能通过校验来看，这个环节应该是没问题的。

内容的提问来源于stack exchange，提问作者Ultracoder