使用ExecutionContext获取用户始终相同，导致JWT刷新令牌失败

问题核心 #

• 开发的JWT认证应用中，访问令牌与刷新令牌机制逻辑正常，但刷新令牌时始终验证失败
• 根本原因：通过ExecutionContext.switchToHttp().getRequest()获取用户信息时，无论哪个用户发起请求，都返回同一个用户；导致验证时错误地拿数据库中另一用户的刷新令牌与当前请求的令牌比对，最终验证不通过

排查关键点 #

• 线程上下文复用问题：检查ExecutionContext依赖的ThreadLocal是否在请求结束后未正确清理，导致线程池复用线程时，上下文残留了之前用户的信息
• 刷新令牌解析逻辑：确认是否错误地从请求上下文的用户对象中获取用户ID，而非直接从传入的刷新令牌中解析出用户标识
• 数据库查询逻辑：验证MongoDB中刷新令牌的存储是否与用户ID正确绑定，查询时是否误用了上下文用户的ID，而非当前令牌对应的用户ID

修复建议 #

• 重构验证流程：直接从刷新令牌中解析出用户ID，以此为条件查询MongoDB中的对应刷新令牌，彻底摆脱对ExecutionContext中用户对象的依赖
• 清理线程上下文：在请求处理完成的拦截器或过滤器中，强制清理ThreadLocal存储的请求信息，避免线程复用导致的上下文污染
• 添加调试日志：在获取用户ID、查询刷新令牌的关键步骤添加日志，记录用户ID、令牌哈希值等信息，方便快速定位问题

内容的提问来源于stack exchange，提问作者Luciano Pulido