如何在WebSocket中更新已认证用户？避免频繁数据库调用

关于XY问题的判断 #

你的问题确实存在一定的XY问题倾向：Authentication的核心职责是存储用户的认证凭证（如ID、权限），而非动态业务数据（如头像）。执着于更新Authentication对象，其实是把安全上下文和业务数据缓存混在了一起，反而会增加复杂度。你的核心需求应该是「在用户信息更新时，让WebSocket相关的业务逻辑能拿到最新数据，同时避免高频数据库查询」，而非一定要修改Authentication。

推荐解决方案 #

1. 分离认证身份与业务数据，用独立缓存维护 #

将用户的动态业务信息（头像、昵称等）从Authentication中剥离，用独立缓存（如Redis、Guava Cache）存储：

• 当用户修改信息时，主动更新缓存，同时可以设置较短的过期时间作为兜底；
• WebSocket处理位置请求时，仅从Authentication中获取用户ID，再从缓存中查询最新的用户业务数据；
• 位置缓存USER_LOCATION_BUFFER中只存储用户ID和位置的映射，需要展示用户信息时再从缓存获取。

示例代码：

@MessageMapping(USER_LOCATION)
public void sendLocation(@RequestBody Location location, Authentication authentication) {
    UserAuth auth = (UserAuth) authentication.getPrincipal(); // 仅存用户ID、权限等静态认证信息
    User latestUser = USER_CACHE.get(auth.getUserId()); // 从缓存取最新业务数据
    LOCATION_SERVICE.sendUserLocation(latestUser, location);
}

// 用户信息更新时的逻辑
public void updateUser(User updatedUser) {
    USER_REPOSITORY.save(updatedUser);
    USER_CACHE.put(updatedUser.getId(), updatedUser); // 主动更新缓存
}

2. 用户信息更新时主动推送至WebSocket会话 #

维护一个用户ID与WebSocket会话的映射（如Map<Long, WebSocketSession>），当用户信息更新时：

• 找到该用户对应的WebSocket会话，主动推送用户信息更新事件；
• 客户端收到事件后更新本地缓存，或者服务端直接在会话关联的上下文里更新用户数据；
• 后续位置请求即可使用最新的用户信息，完全避免数据库查询。

3. （不推荐）按需更新Authentication上下文 #

如果一定要更新Authentication对象，需要注意WebSocket会话的线程模型：

• Spring WebSocket的会话会绑定到特定线程，SecurityContext通常存在ThreadLocal中，所以需要全局存储会话对应的SecurityContext；
• 当用户信息更新时，找到对应的SecurityContext，替换其中的Principal对象；
• 这种方式复杂度高，容易引发线程安全问题，且违背了Authentication的设计初衷，仅作为备选方案。

总结 #

最合理的方案是第一种：将认证身份与业务数据解耦，用独立缓存维护动态业务信息，配合主动更新机制。既避免了高频数据库查询，又能保证数据实时性，同时符合Spring Security的设计规范。

内容的提问来源于stack exchange，提问作者Lucas Tomic