基于Spring Security+JWT的用户信息更新及偏好接口实现疑问

核心结论 #

必须从JWT中获取当前登录用户，用用户ID关联偏好对象，请求体不需要包含用户ID（避免前端篡改，保证数据安全）。

具体实现步骤 #

1. 修正控制器方法定义 #

原方法名和请求方式不匹配（POST方法却命名为getUserPreferences），同时需要添加请求体参数和当前用户的获取逻辑：

@PostMapping("/user/preferences")
public ResponseEntity<Preferences> createOrUpdateUserPreferences(
    @RequestBody PreferencesRequestDto preferencesDto,
    @AuthenticationPrincipal UserDetails currentUser // 若你用了自定义用户实体，可替换为对应的类
) {
    Preferences updatedPreferences = userPreferencesService.saveOrUpdate(((User) currentUser).getId(), preferencesDto);
    return ResponseEntity.ok(updatedPreferences);
}

2. 请求体内容示例 #

请求体只需要包含偏好的业务字段即可，无需传入用户ID，示例如下：

{
  "theme": "dark",
  "notificationsEnabled": true,
  "language": "zh-CN"
}

3. 核心业务逻辑（Service层示例） #

因为用户和偏好是一对一关联，需要判断用户是否已有偏好，存在则更新，不存在则创建：

@Service
public class UserPreferencesService {
    @Autowired
    private UserRepository userRepository;
    @Autowired
    private PreferencesRepository preferencesRepository;

    public Preferences saveOrUpdate(Long userId, PreferencesRequestDto dto) {
        // 根据ID获取当前用户
        User user = userRepository.findById(userId)
                .orElseThrow(() -> new RuntimeException("用户不存在"));
        
        // 查找用户已关联的偏好
        Preferences preferences = user.getPreferences();
        if (preferences == null) {
            // 无偏好则新建并关联用户
            preferences = new Preferences();
            preferences.setUser(user);
        }
        
        // 更新偏好字段
        preferences.setTheme(dto.getTheme());
        preferences.setNotificationsEnabled(dto.isNotificationsEnabled());
        preferences.setLanguage(dto.getLanguage());
        
        // 保存到数据库
        return preferencesRepository.save(preferences);
    }
}

4. 获取当前用户的补充方式 #

如果你的JWT Filter已将用户信息封装到自定义User实体中，也可以直接注入：

@AuthenticationPrincipal User currentUser

或者通过SecurityContext手动获取：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
Long userId = ((User) authentication.getPrincipal()).getId();

关键注意点 #

• 禁止让前端传递用户ID来关联数据，否则会存在越权风险（比如用户恶意修改他人偏好）。
• 确保JWT Filter已正确解析Token，并将用户信息存入Spring Security的SecurityContext中，这样才能通过@AuthenticationPrincipal或SecurityContextHolder获取到用户数据。

内容的提问来源于stack exchange，提问作者El Pandario