Spring Boot 3.1.2集成OpenID Connect后API请求如何识别用户

核心问题定位 #

你的配置中设置了SessionCreationPolicy.STATELESS，这是后续请求无法通过JSESSIONID识别用户的根本原因。Spring Security的OAuth2登录流程默认基于会话：登录成功后，用户的Authentication会被存入HttpSession，后续请求通过JSESSIONID找到对应会话，进而取出身份信息。而STATELESS模式下，框架不会创建或使用HttpSession，登录成功后的身份信息没有持久化，自然无法在后续请求中获取。

针对疑问的解答 #

1. 「通过sessionId关联用户自行查询」是否正确？ #

这种方式并非最优解，Spring Security已经内置了会话与用户身份的绑定机制，无需手动实现关联逻辑，调整会话策略即可让框架自动处理。

2. Spring Security是否有内置方式从会话获取OIDC用户信息？ #

当然有。当会话策略设为默认的IF_REQUIRED（或ALWAYS）时，登录成功后，OIDC用户的Authentication（类型为OAuth2AuthenticationToken）会自动存入HttpSession。后续请求中可以通过以下方式获取用户信息：

• 在Controller中注入HttpSession直接读取：

  @GetMapping("/api/user")
  public String getUserInfo(HttpSession session) {
      Authentication auth = (Authentication) session.getAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY);
      if (auth != null && auth.getPrincipal() instanceof OidcUser oidcUser) {
          return oidcUser.getEmail();
      }
      return "未登录";
  }
  

• 直接在Controller方法参数中注入Authentication，框架会自动从当前请求的SecurityContext中取出：

  @GetMapping("/api/user")
  public String getUserInfo(Authentication authentication) {
      if (authentication != null && authentication.getPrincipal() instanceof OidcUser oidcUser) {
          return oidcUser.getEmail();
      }
      return "未登录";
  }
  

具体修复步骤 #

1. 修改会话策略 #

在SecurityConfig的filterChain配置中，将SessionCreationPolicy.STATELESS改为IF_REQUIRED（默认值）或ALWAYS：

.sessionManagement(httpSecuritySessionManagementConfigurer -> 
    httpSecuritySessionManagementConfigurer.sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
)

注：SPA应用使用会话模式是合理的，只需确保会话Cookie的安全配置（如HttpOnly、Secure、SameSite等）符合生产环境要求。

2. 移除多余的手动Authentication设置 #

你在oidcUserService中手动调用SecurityContextHolder.getContext().setAuthentication(...)属于冗余操作，且在STATELESS模式下不会生效。OAuth2LoginAuthenticationFilter会自动将登录成功后的Authentication存入SecurityContext和会话（当会话策略允许时）。简化后的oidcUserService如下：

private OAuth2UserService<OidcUserRequest, OidcUser> oidcUserService(){
    final OidcUserService delegate = new OidcUserService();

    return (userRequest) -> {
        OidcUser oidcUser = delegate.loadUser(userRequest);
        // 仅保留权限映射等自定义逻辑，无需手动设置Authentication
        Collection<GrantedAuthority> mappedAuthorities = // 你的权限映射逻辑
        return new DefaultOidcUser(mappedAuthorities, oidcUser.getIdToken(), oidcUser.getUserInfo());
    };
}

3. 过滤器顺序调整 #

修改会话策略后，你的AfterOAuth2LoginAuthenticationFilter应该能正常获取到Authentication，无需额外调整过滤器顺序。

额外建议 #

• 确保SPA在登录成功后，后续请求自动携带JSESSIONID Cookie（浏览器默认会自动携带同域Cookie）。
• 可配置更细粒度的会话控制：

  .sessionManagement(session -> session
      .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
      .sessionFixation().migrateSession()
      .invalidSessionUrl("/login.html")
      .maximumSessions(1)
      .expiredUrl("/login.html")
  )
  .cookieConfig(cookie -> cookie
      .sessionCookie()
      .httpOnly(true)
      .secure(true) // 生产环境启用
      .sameSite(SameSiteAttribute.LAX)
  )
  

内容的提问来源于stack exchange，提问作者CookieHat