如何在CompanyController中不使用userService为adminProfile字段赋值登录用户？

当然可以不用UserService完成这个操作，下面给你几种可行的实现方式，同时兼顾控制器的代码整洁性：

方式一：用@AuthenticationPrincipal直接注入登录用户 #

Spring Security提供的@AuthenticationPrincipal注解可以直接把当前登录用户对象注入到控制器方法参数里，前提是你的认证逻辑中，SecurityContext里的Authentication对象持有的就是AppUser实体（或者你的AppUser实现了UserDetails接口）。

修改后的createCompany方法如下：

@PostMapping(COMPANY_PATH + "/create")
public String createCompany(@ModelAttribute("company") CompanyDTO companyDTO,
                            @AuthenticationPrincipal AppUser currentUser) {
    companyDTO.setAdminProfile(currentUser);
    companyService.saveCompany(companyDTO); // 调用服务层保存方法
    return "redirect:" + COMPANY_PATH;
}

要是你的认证对象是自定义的UserDetails实现类而非直接的AppUser，那得先把UserDetails转换成AppUser，或者在配置UserDetailsService的时候，直接返回AppUser实体（让AppUser实现UserDetails接口）。

方式二：通过SecurityContextHolder手动获取登录用户 #

不想用注解的话，也可以直接从安全上下文里提取当前登录用户：

@PostMapping(COMPANY_PATH + "/create")
public String createCompany(@ModelAttribute("company") CompanyDTO companyDTO) {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    // 这里假设认证主体是AppUser实体，根据实际情况做类型转换
    AppUser currentUser = (AppUser) auth.getPrincipal();
    companyDTO.setAdminProfile(currentUser);
    companyService.saveCompany(companyDTO);
    return "redirect:" + COMPANY_PATH;
}

关于控制器依赖的误区 #

你提到“控制器用多个服务是不良实践”，这个原则的核心是控制器只负责处理请求接收、响应跳转这类Web层逻辑，业务逻辑全部交给服务层。而获取登录用户属于安全上下文操作，不属于业务逻辑，直接在控制器里处理完全合理，不算违规。

要是你想让控制器代码更简洁，还可以封装一个工具类统一处理登录用户的获取：

public class CurrentUserHelper {
    public static AppUser getCurrentLoginUser() {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth == null || !auth.isAuthenticated()) {
            throw new IllegalStateException("当前无登录用户");
        }
        return (AppUser) auth.getPrincipal();
    }
}

之后在控制器里直接调用：

companyDTO.setAdminProfile(CurrentUserHelper.getCurrentLoginUser());

特殊场景处理：需要托管的AppUser实体 #

如果你的AppUser是JPA实体，而从安全上下文获取的对象是非托管状态（比如是自定义的UserDetails对象），那你可能需要先通过JPA Repository获取托管的实体。这时候你可以选择：

1. 直接在控制器里注入AppUserRepository，调用findById方法获取用户（虽然控制器通常优先依赖服务层，但这种简单查询的场景下，偶尔用Repository也没问题）；
2. 在CompanyService里新增一个获取用户的方法，控制器依然只依赖CompanyService：

// CompanyService中的新增方法
public AppUser getAppUserById(Long userId) {
    return appUserRepository.findById(userId)
            .orElseThrow(() -> new RuntimeException("用户不存在"));
}

然后控制器里先获取用户ID，再调用这个方法：

Long userId = ((AppUser) SecurityContextHolder.getContext().getAuthentication().getPrincipal()).getId();
companyDTO.setAdminProfile(companyService.getAppUserById(userId));

内容的提问来源于stack exchange，提问作者solanke57