Spring OAuth2成功认证后替换Authentication对象的实现方案

我有一个使用OAuth2的Spring应用，登录成功后，用户的安全上下文（SecurityContext）中存在一个OAuth2AuthenticationToken。我希望将该令牌替换为Authentication的另一种实现类，比如PreAuthenticatedAuthenticationToken。目前我尝试在AuthenticationSuccessHandler中替换SecurityContext里的Authentication，但代码执行后仍能看到OAuth2AuthenticationToken。

我的代码如下：

@Component
public class SecurityHandler implements AuthenticationSuccessHandler {

 public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException  {
       
       PreAuthenticatedAuthenticationToken newToken = new PreAuthenticatedAuthenticationToken("test-user","pw");
       token.setAuthenticated(true);

       SecurityContext secContext = SecurityContextHolder.getContext();
       secContext.setAuthentication(token);

       HttpSession session = request.getSession(true);
       session.setAttribute("SPRING_SECURITY_CONTEXT", secContext);
    }
}

问题分析 #

你的代码存在两个核心问题：

1. 变量名错误：创建的令牌对象是newToken，但后续操作的是未定义的token，导致实际没有修改目标令牌。
2. 令牌合法性不足：PreAuthenticatedAuthenticationToken未设置权限集合，且手动调用setAuthenticated(true)的方式不规范，可能被后续安全过滤器判定为无效认证。
3. Session属性键不规范：硬编码的SPRING_SECURITY_CONTEXT可能和Spring Security默认的存储键不一致，导致上下文未正确同步。

解决方案 #

步骤1：修正自定义SuccessHandler代码 #

修复变量问题，完善令牌的权限配置，并使用Spring Security提供的常量来操作Session：

@Component
public class SecurityHandler implements AuthenticationSuccessHandler {

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException {
        // 为令牌添加必要的权限集合，确保认证合法
        Collection<? extends GrantedAuthority> authorities = Collections.singletonList(new SimpleGrantedAuthority("ROLE_USER"));
        
        // 创建合法的PreAuthenticatedAuthenticationToken（传入权限后会自动标记为已认证）
        PreAuthenticatedAuthenticationToken newToken = new PreAuthenticatedAuthenticationToken(
                "test-user", 
                "pw", 
                authorities
        );

        // 更新当前线程的SecurityContext
        SecurityContext secContext = SecurityContextHolder.getContext();
        secContext.setAuthentication(newToken);

        // 同步到Session，使用Spring Security的官方常量避免键名不一致
        HttpSession session = request.getSession(true);
        session.setAttribute(
                HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, 
                secContext
        );

        // 处理登录后的跳转（根据业务需求调整）
        response.sendRedirect("/");
    }
}

步骤2：确保SuccessHandler被Spring Security正确加载 #

在Security配置类中，将自定义的SuccessHandler绑定到OAuth2登录流程：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    private final SecurityHandler securityHandler;

    public SecurityConfig(SecurityHandler securityHandler) {
        this.securityHandler = securityHandler;
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .oauth2Login(oauth2 -> oauth2
                .successHandler(securityHandler) // 替换默认的登录成功处理器
            );
        return http.build();
    }
}

额外注意事项 #

• 避免手动调用setAuthenticated(true)：当使用带权限参数的构造方法创建PreAuthenticatedAuthenticationToken时，令牌会自动标记为已认证，手动设置可能引发安全风险。
• 无状态场景调整：如果你的应用是无状态（如使用JWT），则不需要同步Session，而是需要生成对应的令牌并返回给客户端，后续请求通过令牌解析获取Authentication。

内容的提问来源于stack exchange，提问作者eztam