UserDetailsService是否为遗留技术？加载登录用户信息的现代规范方式？

Spring Security的SAML2文档明确提到UserDetailsService属于遗留方案，现代推荐的方式是直接基于SAML2响应断言构建用户身份主体，核心是通过自定义**响应认证转换器（Response Authentication Converter）**来处理，具体实现方式如下：

1. 自定义SAML2响应认证转换器 #

跳过UserDetailsService，直接解析SAML2断言中的用户属性，构建符合业务需求的自定义身份主体。你可以实现Saml2AuthenticatedPrincipal接口来定义自己的用户模型，也可以直接基于默认实现扩展属性。

示例代码：

@Bean
public Saml2AuthenticationConverter saml2AuthenticationConverter() {
    DefaultSaml2AuthenticationConverter converter = new DefaultSaml2AuthenticationConverter();
    // 自定义主体转换器，从SAML属性中提取用户信息
    converter.setPrincipalConverter(attributes -> {
        String userEmail = attributes.getFirst("email");
        List<String> userRoles = attributes.get("roles");
        // 返回自定义的Principal实例
        return new CustomSamlUser(userEmail, userRoles);
    });
    return converter;
}

// 自定义用户主体类
public class CustomSamlUser implements Saml2AuthenticatedPrincipal {
    private final String email;
    private final List<String> roles;
    private final Map<String, List<String>> attributes;

    public CustomSamlUser(String email, List<String> roles) {
        this.email = email;
        this.roles = roles;
        this.attributes = Map.of("roles", roles);
    }

    @Override
    public String getName() {
        return this.email;
    }

    @Override
    public Map<String, List<String>> getAttributes() {
        return this.attributes;
    }

    // 自定义方法，方便业务获取角色
    public List<String> getRoles() {
        return this.roles;
    }
}

2. 将转换器配置到Security链中 #

把自定义的转换器注册到SAML2登录的认证提供者里，替换默认的处理逻辑：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
        .saml2Login(saml2 -> saml2
            .authenticationManager(new ProviderManager(
                new OpenSaml4AuthenticationProvider()
                    .setResponseAuthenticationConverter(saml2AuthenticationConverter())
            ))
        );
    return http.build();
}

3. 直接使用Saml2AuthenticatedPrincipal（轻量方案） #

如果不需要完全自定义用户模型，也可以直接用Spring Security提供的Saml2AuthenticatedPrincipal，在控制器中直接注入获取用户信息：

@GetMapping("/current-user")
public Map<String, Object> getCurrentUser(@AuthenticationPrincipal Saml2AuthenticatedPrincipal principal) {
    return Map.of(
        "username", principal.getName(),
        "userAttributes", principal.getAttributes(),
        "roles", principal.getAttribute("roles")
    );
}

这种方式的优势在于：完全贴合SAML2的原生属性传递模型，避免了UserDetailsService带来的不必要抽象（比如强制适配UserDetails的固定字段），直接从SAML断言中提取业务所需信息，更灵活且符合现代Spring Security对身份主体的处理风格。

内容的提问来源于stack exchange，提问作者Joshua Swink