Tomcat JAAS认证全程是否保留HttpRequest对象？

核心结论 #

Tomcat在JAAS认证的全流程中，始终维护同一个HttpRequest对象实例，请求中预先设置的属性（比如你提到的id）会完整保留到认证流程结束。

具体细节说明 #

• HttpRequest对象的生命周期：当请求到达Tomcat后，Connector组件创建对应的HttpRequest对象，这个对象会伴随请求全程流转——从容器的阀门（Valve）链处理，到JAAS认证的各个环节（自定义表单处理器、LoginContext、登录模块），再回到后续业务处理。整个过程中不会销毁或重建该HttpRequest实例。
• 请求属性的保留逻辑：HttpRequest的属性存储在其内部的attributes映射表中（本质是线程安全的哈希结构），只要对象实例不被替换，这些属性就会一直存在。在你描述的「自定义表单→LoginContext→登录模块→创建用户主体→自定义表单」流程中，所有环节操作的都是同一个HttpRequest对象，因此你设置的id属性不会丢失。
• JAAS认证环节与HttpRequest的交互：LoginContext和登录模块本身不会直接修改HttpRequest的属性（除非你的自定义代码主动操作），它们的核心职责是完成身份校验、创建用户主体（Subject），并将认证结果绑定到当前请求的线程或HttpRequest的userPrincipal属性上。整个过程不会触动已有的请求属性。

验证提示 #

如果需要确认这一点，可以在自定义表单处理器、登录模块中分别打印HttpRequest的对象哈希值，会发现所有环节的哈希值完全一致；同时打印id属性的值，也能看到全程保持不变。

内容的提问来源于stack exchange，提问作者ironmanAJ