Spring Boot多实例场景下如何关联请求与用户并返回专属信息？

一、请求携带用户ID的合理性 #

• 这种方式可行但并非最优：
  • 优点：实现简单，无需依赖会话存储，天然支持多实例（每个请求自带身份标识），规避了分布式会话的复杂度。
  • 缺点：前端需手动在每次请求中携带，容易遗漏；存在安全风险（若用户篡改ID，可能非法获取他人数据）。

二、更优的实现方案 #

1. 基于Token的身份认证（推荐） #

• 用户登录成功后，后端生成包含用户ID等核心信息的**JWT（JSON Web Token）**返回给前端。
• 前端后续所有请求在Authorization请求头中携带Bearer {token}。
• 后端通过全局拦截器/过滤器统一解析Token，提取用户ID并绑定到当前请求上下文（比如Spring Security的SecurityContextHolder）。
• 多实例场景下无需额外配置，因为Token本身包含完整身份信息，服务实例完全无状态。
• 示例拦截器代码：

@Component
public class TokenInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String tokenHeader = request.getHeader("Authorization");
        if (tokenHeader != null && tokenHeader.startsWith("Bearer ")) {
            String jwtToken = tokenHeader.substring(7);
            // 解析Token获取用户ID（需实现JwtUtil工具类）
            String userId = JwtUtil.extractUserId(jwtToken);
            // 将用户ID存入请求属性，后续接口可直接取用
            request.setAttribute("currentUserId", userId);
            // 或绑定到SecurityContext供权限框架使用
            UsernamePasswordAuthenticationToken authToken = 
                new UsernamePasswordAuthenticationToken(userId, null, Collections.emptyList());
            SecurityContextHolder.getContext().setAuthentication(authToken);
        }
        return true;
    }
}

2. 分布式会话（适配传统Cookie场景） #

• 若依赖Session机制，多实例下需将Session存储到共享介质（Redis、MongoDB等）。
• Spring Boot中可引入spring-session-data-redis依赖，配置后Session会自动同步到Redis，所有服务实例共享会话数据。
• 前端通过Cookie携带SessionID，后端从共享存储中读取对应用户信息。
• 注意：需配置Cookie的domain和secure属性，确保跨实例请求能正确传递SessionID。

三、安全核心注意事项 #

• 无论采用哪种方式，必须对用户身份做二次校验：
  • 若用请求携带ID的方式，需从Token/Session中获取真实用户ID，与请求参数中的ID做对比，禁止直接信任请求参数。
  • Token方式要验证签名有效性、过期时间，防止伪造。
• 敏感接口强制启用HTTPS，避免身份信息被窃听篡改。

内容的提问来源于stack exchange，提问作者Valentino Giardino