如何在自定义ConstraintValidator中注入安全上下文认证信息？

在Spring Boot 3 + WebFlux的响应式环境中，你遇到的ReactiveSecurityContextHolder.getContext()返回空指针的核心原因是：Bean Validation（JSR-380）的ConstraintValidator是同步执行模型，它的执行时机不在WebFlux的响应式上下文链条中。ReactiveSecurityContextHolder的上下文仅存在于响应式流（Mono/Flux）的执行上下文中，用runBlocking强行阻塞也无法捕获到上下文，自然会抛出NPE。

以下是几种可行的解决方案：

方案1：使用响应式方法安全（推荐） #

放弃Bean Validation的同步验证，改用Spring Security的响应式方法安全注解@PreAuthorize，它能自然适配WebFlux的上下文，直接获取认证信息并执行权限校验。

步骤： #

1. 启用响应式方法安全
   在配置类添加注解：

@Configuration
@EnableReactiveMethodSecurity
class SecurityConfig

2. 调整权限校验逻辑
   确保权限校验类的方法支持挂起函数（或返回Mono/Flux）：

@Component
class OrgPermissionValidator {
    suspend fun hasInstanceAccess(subject: String, instanceId: InstanceId): Boolean {
        // 原有校验逻辑，返回是否拥有权限
    }
}

3. 在控制器中使用注解校验
   直接在接口方法上通过SpEL调用校验方法，同时从authentication中获取JWT主体：

@RestController
@RequestMapping("/instances")
class InstanceController {
    @Autowired
    lateinit var permissionValidator: OrgPermissionValidator

    @GetMapping("/{instanceId}")
    @PreAuthorize("@permissionValidator.hasInstanceAccess(authentication.principal.subject, #instanceId)")
    suspend fun getInstance(@PathVariable instanceId: InstanceId): InstanceDto {
        // 业务逻辑实现
    }
}

方案2：手动传递认证上下文到验证器 #

如果必须保留Bean Validation的方式，可以通过WebFilter将认证信息存入请求属性，再在验证器中获取：

1. 编写WebFilter传递认证信息

@Component
class AuthContextTransferFilter : WebFilter {
    override fun filter(exchange: ServerWebExchange, chain: WebFilterChain): Mono<Void> {
        return ReactiveSecurityContextHolder.getContext()
            .map { it.authentication }
            .defaultIfEmpty(null)
            .flatMap { auth ->
                exchange.attributes["REQUEST_AUTH"] = auth
                chain.filter(exchange)
            }
    }
}

2. 修改验证器获取认证信息
   通过ServerWebExchangeContextHolder获取当前请求上下文，进而拿到认证信息：

@Component
class OrgInstanceValidator(val validator: OrgPermissionValidator) : ConstraintValidator<ValidOrgInstance, InstanceId> {

    override fun isValid(value: InstanceId, context: ConstraintValidatorContext): Boolean {
        val exchange = ServerWebExchangeContextHolder.getExchange() 
            ?: throw IllegalStateException("请求上下文不存在，无法获取认证信息")
        
        val auth = exchange.attributes["REQUEST_AUTH"] as Authentication? 
            ?: return false
        
        val jwt = auth.principal as Jwt
        
        return runBlocking {
            validator.validateInstanceAccess(jwt.subject, value).awaitSingle().isGranted
        }
    }
}

注意：此方法使用runBlocking会阻塞响应式线程，可能影响性能，仅在无法使用方案1时考虑。

方案3：自定义参数解析器 #

通过实现HandlerMethodArgumentResolver，在参数解析阶段完成权限校验，完全适配响应式模型：

1. 实现参数解析器

@Component
class AuthenticatedInstanceIdResolver : HandlerMethodArgumentResolver {
    @Autowired
    lateinit var permissionValidator: OrgPermissionValidator

    override fun supportsParameter(parameter: MethodParameter): Boolean {
        return parameter.parameterType == InstanceId::class.java 
            && parameter.hasParameterAnnotation(ValidOrgInstance::class.java)
    }

    override fun resolveArgument(
        parameter: MethodParameter,
        bindingContext: BindingContext,
        exchange: ServerWebExchange
    ): Mono<Any> {
        return ReactiveSecurityContextHolder.getContext()
            .map { it.authentication.principal as Jwt }
            .flatMap { jwt ->
                val instanceIdStr = exchange.request.pathVariables["instanceId"] 
                    ?: return@flatMap Mono.error(IllegalArgumentException("无效的实例ID"))
                val instanceId = InstanceId(instanceIdStr)
                
                permissionValidator.validateInstanceAccess(jwt.subject, instanceId)
                    .filter { it.isGranted }
                    .switchIfEmpty(Mono.error(AccessDeniedException("无权限访问实例：$instanceId")))
                    .map { instanceId }
            }
    }
}

2. 注册参数解析器

@Configuration
class WebFluxConfig : WebFluxConfigurer {
    @Autowired
    lateinit var authenticatedInstanceIdResolver: AuthenticatedInstanceIdResolver

    override fun addArgumentResolvers(resolvers: MutableList<HandlerMethodArgumentResolver>) {
        resolvers.add(authenticatedInstanceIdResolver)
    }
}

3. 控制器中直接使用注解参数

@RestController
@RequestMapping("/instances")
class InstanceController {
    @GetMapping("/{instanceId}")
    suspend fun getInstance(@ValidOrgInstance @PathVariable instanceId: InstanceId): InstanceDto {
        // 业务逻辑实现
    }
}

内容的提问来源于stack exchange，提问作者DLL