如何在UsernamePasswordAuthenticationToken中传入UserDetails而非Principal

你的代码写法是完全正确的，而且这正是Spring Security推荐的最佳实践之一。

核心原因解释 #

UsernamePasswordAuthenticationToken的principal参数本身就支持传入UserDetails类型对象——UserDetails是Spring Security专门用来封装已认证用户核心信息（用户名、密码、权限集等）的标准接口，设计它的核心目的就是作为Authentication对象的principal使用。

当你传入UserDetails作为principal时，后续Spring Security的过滤器链、权限校验组件都能直接从Authentication对象中获取完整的用户信息，无需额外类型转换，完全契合框架的设计逻辑。

优化建议与最佳实践 #

1. 复用UserDetails自带的权限集
   建议直接调用userDetails.getAuthorities()来获取权限，避免手动构造权限集合导致的信息不一致问题，修改后的代码如下：

   public Authentication createAuthentication() {
       UserDetails userDetails = // 获取已认证用户的UserDetails
       Object credentials = // 认证完成后建议设为null，避免敏感凭证留存
   
       return new UsernamePasswordAuthenticationToken(userDetails, credentials, userDetails.getAuthorities());
   }
   

2. 认证完成后清理敏感凭证
   用户身份验证通过后，建议将credentials参数设为null，避免明文/加密密码等敏感信息在Authentication对象中长时间留存，降低数据泄露风险。

3. 确保UserDetails是已校验的实例
   此处传入的UserDetails必须是经过完整身份验证（比如密码匹配校验）后的对象，绝对不能直接使用未校验的用户输入构造，否则会绕过认证逻辑，带来严重的安全隐患。

内容的提问来源于stack exchange，提问作者Prabagaran Sellamuthu