登录成功后后续请求中SecurityContextHolder获取到anonymousUser问题排查

• 会话/令牌传递机制缺失

  • 若用Session跟踪：登录接口响应需返回Set-Cookie头（携带JSESSIONID），Postman需自动携带该Cookie。跨域场景下（如前后端分离），要配置CORS允许携带凭证（allowCredentials=true），前端请求也要开启withCredentials=true。
  • 若用JWT无状态认证：登录成功后需返回JWT令牌，后续请求必须在请求头中携带Authorization: Bearer <token>，同时后端要配置JwtAuthenticationFilter解析令牌，将认证信息存入SecurityContextHolder。

• 自定义登录接口未持久化认证信息
  若自行实现登录接口（非Spring Security默认/login），登录成功后除了调用SecurityContextHolder.getContext().setAuthentication(auth)，还需将认证信息持久化到会话：

  request.getSession().setAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, SecurityContextHolder.getContext());
  

  或直接借助SecurityContextRepository完成上下文存储。

• 安全过滤器链配置错误

  • 检查SecurityFilterChain，确保后续请求路径未被错误设置为permitAll()，需认证的路径要通过authenticated()保护。
  • 认证过滤器（如JWT过滤器）需配置在正确执行顺序，比如放在UsernamePasswordAuthenticationFilter之前，保证请求到达控制器前完成认证。

• Postman请求凭证携带异常
  手动核查后续请求的凭证：

  • Session模式：查看Postman的Cookies面板是否存在JSESSIONID；
  • JWT模式：查看请求头是否包含正确的Authorization字段。

内容的提问来源于stack exchange，提问作者Ivan Mirchev