WebFlux：如何在非挂起@Controller方法中获取AuthenticationPrincipal

问题背景 #

我有一个基于响应式协程的Spring Boot WebFlux应用，其中一个@Controller方法返回Flow<Item>，因此无法标记为suspend；另外，控制器是通过继承生成的OpenAPI接口实现的，没法在方法中注入@AuthenticationPrincipal。

原本的@GetMapping代码如下：

override fun getItems(): ResponseEntity<Flow<Item>> {
    val CURRENTUSER = ReactiveSecurityContextHolder
        .getContext()
        .map { it.authentication.principal as String }.awaitFirst()

    return ResponseEntity.status(HttpStatus.OK)
      .body(service.findAll(CURRENTUSER))
}

这段代码无法编译，报错：Suspend function 'awaitFirst' should be called only from a coroutine or another suspend function。

想知道这种场景下怎么获取当前用户？我用下面的方式解决了，但这是不是正确方案？有没有更好的替代方案？

我的解决代码：

override fun getItems(): ResponseEntity<Flow<Item>> =
  ResponseEntity.status(HttpStatus.OK).body(
    flow {
      val CURRENTUSER =
        ReactiveSecurityContextHolder.getContext()
          .map { it.authentication.principal as String }
          .awaitFirst()

      emitAll(service.findAll(CURRENTUSER))
    }
  )

方案评估与替代方案 #

你的解决方案是否正确？ #

你的方案是可行且正确的。通过在flow构建器中调用suspend方法awaitFirst()，你将获取用户的逻辑放到了协程上下文内，符合Kotlin协程的调用规则，同时能正确从ReactiveSecurityContextHolder拿到当前认证用户。

更简洁的替代方案 #

方案1：响应式操作符串联逻辑

可以将ReactiveSecurityContextHolder.getContext()转为Flow，再用flatMapConcat操作符串联业务逻辑，写法更贴合响应式风格：

override fun getItems(): ResponseEntity<Flow<Item>> {
    val userFlow = ReactiveSecurityContextHolder.getContext()
        .map { it.authentication.principal as String }
        .asFlow()
    val itemsFlow = userFlow.flatMapConcat { service.findAll(it) }
    return ResponseEntity.ok(itemsFlow)
}

这种写法避免了显式的flow构建器，利用响应式操作符完成逻辑串联，代码更简洁。

方案2：使用Spring Security协程扩展函数

Spring Security针对Kotlin协程提供了withSecurityContext扩展函数，可更直观地获取安全上下文：

override fun getItems(): ResponseEntity<Flow<Item>> {
    val itemsFlow = flow {
        val currentUser = withSecurityContext { it.authentication.principal as String }
        emitAll(service.findAll(currentUser))
    }
    return ResponseEntity.ok(itemsFlow)
}

withSecurityContext会自动从ReactiveSecurityContextHolder获取上下文，省去了手动调用上下文的步骤。

注意事项 #

• 建议添加空值判断，避免NullPointerException，比如：it.authentication?.principal as? String ?: throw UnauthorizedException()
• 如果service.findAll()本身返回Flow，上述方案都能保持响应式特性，不会阻塞线程

内容的提问来源于stack exchange，提问作者nightlytrails