Spring Boot：如何在内部传递访问令牌用于外部服务调用？

针对你遇到的「令牌作为参数层层传递污染业务方法」的问题，结合你的六边形架构场景，给你几个实用的方案：

1. 利用Spring Security的SecurityContextHolder（最省心） #

如果你已经基于Spring Security集成了Keycloak，直接用框架自带的上下文就够了：

• 控制器层不用手动提取令牌，在需要调用Service B的适配器（比如AccountAdapterRest）里，直接从上下文获取：

OAuth2AuthenticationToken authToken = (OAuth2AuthenticationToken) SecurityContextHolder.getContext().getAuthentication();
String accessToken = authToken.getToken().getTokenValue();

• Spring会自动处理线程隔离，请求结束后也会清理上下文，不用自己维护线程存储，完全贴合Spring生态。

2. 自定义ThreadLocal令牌持有者 #

如果没用到Spring Security，自己搞个简单的线程本地容器也很方便：

• 先写一个静态的令牌持有类：

public class TokenHolder {
    private static final ThreadLocal<String> TOKEN = new ThreadLocal<>();

    public static void setToken(String token) {
        TOKEN.set(token);
    }

    public static String getToken() {
        return TOKEN.get();
    }

    public static void clear() {
        TOKEN.remove();
    }
}

• 在控制器层提取令牌后调用TokenHolder.setToken(xxx)，然后在AccountAdapterRest里直接TokenHolder.getToken()获取
• 关键要记得清理：可以写一个Filter，在doFilter的finally块里调用TokenHolder.clear()，或者用Spring的@AfterCompletion注解在控制器方法执行完后清理，避免内存泄漏。

3. 自定义请求上下文（适配六边形架构） #

如果想更贴合六边形架构的设计，避免业务层感知基础设施细节，可以搞个请求上下文组件：

• 定义一个RequestContext类，包含令牌、请求ID等请求级别的通用数据，用ThreadLocal维护
• 把这个上下文放到基础设施层，让适配器（比如AccountAdapterRest）依赖它获取令牌
• 业务层的方法完全不用管令牌的事，只专注业务逻辑，符合六边形架构「业务核心不依赖外部细节」的原则

注意事项 #

• 异步场景要特殊处理：如果Service A里有用异步方法调用Service B，ThreadLocal里的内容不会自动传递到异步线程，这时候可以用Spring的TaskDecorator把上下文复制过去
• 别在日志里打令牌：不管用哪种方式，都要确保令牌不会被输出到日志里，避免安全风险

内容的提问来源于stack exchange，提问作者Christian