响应式代码中从服务层调用@PreAuthorize方法的安全上下文问题

核心原因 #

在响应式Spring应用中，SecurityContext是存储在Reactor Context而非传统ThreadLocal中。当你在Mono.just(id).map(service1::method1)里调用带@PreAuthorize注解的方法时，map操作的线程无法访问原有的Reactor Context，导致SecurityContext为空，触发"An Authentication object was not found in the SecurityContext"错误。

解决方案 #

方案1：手动传递Reactor Context #

捕获当前SecurityContext并传入Reactor Context，确保后续操作能访问认证信息：

@Service
public class Service2 {
   
   @Autowired
   private Service1 service1;
   @Autowired
   private ReactiveSecurityContextHolder reactiveSecurityContextHolder;

   @PreAuthorize("hasAuthority('ADMIN')")
   public String method2() {
      return reactiveSecurityContextHolder.getContext()
            .flatMap(securityContext -> 
                Mono.just(id)
                    .contextWrite(ctx -> ctx.put(SecurityContext.class, securityContext.getAuthentication()))
                    .map(service1::method1)
            )
            .block();
   }
}

方案2：改用响应式方法签名 #

将服务方法改为返回Mono/Flux，Spring Security会自动处理SecurityContext的传递：

@Service
public class Service1 {
   
   @PreAuthorize("hasAuthority('ADMIN')")
   public Mono<String> method1() {
      return Mono.just("业务处理结果");
   }
}

@Service
public class Service2 {
   
   @Autowired
   private Service1 service1;

   @PreAuthorize("hasAuthority('ADMIN')")
   public Mono<String> method2() {
      return Mono.just(id)
            .flatMap(id -> service1.method1());
   }
}

方案3：手动设置并清理SecurityContext（兼容同步场景） #

如果必须保留同步方法，需手动设置认证信息并在调用后清理，避免线程污染：

@Service
public class Service2 {
   
   @Autowired
   private Service1 service1;

   @PreAuthorize("hasAuthority('ADMIN')")
   public String method2() {
      Authentication auth = SecurityContextHolder.getContext().getAuthentication();
      try {
          return Mono.just(id)
                .map(id -> {
                    SecurityContextHolder.getContext().setAuthentication(auth);
                    return service1.method1();
                })
                .block();
      } finally {
          SecurityContextHolder.clearContext();
      }
   }
}

最佳实践 #

• 优先使用响应式方法签名（返回Mono/Flux），这是Spring Security响应式环境下的原生支持方式，无需手动处理上下文传递。
• 避免在响应式链中直接调用同步权限方法，若必须调用，务必做好SecurityContext的传递与清理，防止线程池污染。
• 服务层权限控制仍为最佳实践，但需结合响应式环境特性调整实现方式。

内容的提问来源于stack exchange，提问作者Yurii Kozachok