Spring Boot会话作用域Bean抛出“No thread-bound request”异常如何解决？

问题根源 #

你的AuthenticationFilter是单例Bean，而AuthService是会话作用域Bean。过滤器的执行时机早于DispatcherServlet，此时Spring的请求上下文（RequestContext）还未绑定到当前线程，导致会话作用域的代理Bean无法获取有效会话上下文，从而抛出ScopeNotActiveException。

解决方案 #

方案1：添加RequestContextFilter提前初始化上下文 #

在Spring Boot中注册RequestContextFilter，让它在你的认证过滤器之前执行，确保请求上下文提前绑定到线程：

@Configuration
public class WebConfig {
    @Bean
    public FilterRegistrationBean<RequestContextFilter> requestContextFilter() {
        FilterRegistrationBean<RequestContextFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new RequestContextFilter());
        // 设置更高优先级，确保先于认证过滤器执行
        registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
        return registrationBean;
    }

    // 注册自定义认证过滤器
    @Bean
    public FilterRegistrationBean<AuthenticationFilter> authenticationFilter() {
        FilterRegistrationBean<AuthenticationFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new AuthenticationFilter());
        registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE + 1);
        return registrationBean;
    }
}

方案2：直接从HttpSession获取用户信息（更简洁） #

过滤器本身可直接访问HttpSession，无需依赖Spring会话Bean，直接从会话读取用户状态：
修改AuthenticationFilter逻辑：

@Configuration
public class AuthenticationFilter implements Filter {
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain ch) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        // 不自动创建会话，避免无意义的会话生成
        HttpSession session = request.getSession(false);
        boolean isLoggedIn = session != null && session.getAttribute("user") != null;
        
        if (!isLoggedIn) {
            // 未登录处理逻辑，比如重定向到登录页
            ((HttpServletResponse) res).sendRedirect("/login");
            return;
        }
        ch.doFilter(req, res);
    }

    // 其他方法实现...
}

若仍需保留AuthService，可修改为从HttpSession读取用户：

@Service
@Scope(value = WebApplicationContext.SCOPE_SESSION, proxyMode = ScopedProxyMode.TARGET_CLASS)
public class AuthService {
    @Autowired
    private HttpSession session;

    public boolean isLoggedIn() {
        return session.getAttribute("user") != null;
    }

    public void login(User user) {
        session.setAttribute("user", user);
    }

    public void logout() {
        session.removeAttribute("user");
    }
}

方案3：改用Spring Security（推荐） #

如果项目需要完整的认证授权能力，直接使用Spring Security更规范，它内置了会话管理、认证过滤器等成熟机制：

1. 引入依赖：

<!-- Maven -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 基础配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login") // 自定义登录页路径
                .permitAll()
            )
            .logout(logout -> logout.permitAll());
        return http.build();
    }
}

获取当前登录状态可通过SecurityContextHolder：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
boolean isLoggedIn = authentication != null && authentication.isAuthenticated() 
                     && !(authentication instanceof AnonymousAuthenticationToken);

内容的提问来源于stack exchange，提问作者Jack