Spring Boot3+Native Image下Thymeleaf sec:authentication权限读取异常

问题原因 #

Native Image 采用 AOT（提前编译）机制，会剔除未显式注册的反射元数据。UsernamePasswordAuthenticationToken 的 principal（通常是 UserDetails 实现类）及其 authorities 属性的 getter 方法未被注册到反射元数据中，导致 Thymeleaf 表达式引擎无法通过反射读取该属性。而 JVM 运行时是动态反射，不受此限制，因此 Jar 包运行正常。

解决方案 #

方案1：注册反射元数据 #

通过 @RegisterReflectionForBinding 注解手动注册需要反射访问的类，确保 Native Image 编译时保留相关元数据：

import org.springframework.nativex.hint.RegisterReflectionForBinding;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.userdetails.User; // 若使用自定义UserDetails实现，替换为你的类
import org.springframework.context.annotation.Configuration;

@Configuration
@RegisterReflectionForBinding({
    UsernamePasswordAuthenticationToken.class,
    User.class // 自定义UserDetails实现类需添加在此
})
public class NativeReflectionConfig {
}

方案2：避免模板中直接反射读取 #

在控制器中将权限信息直接存入 Model，模板直接读取 Model 属性，绕开反射依赖：

修改控制器代码：

@GetMapping("/user")
public String registration(Authentication authentication, Model model) {
    UserDto user = userDetails.getUserDetails(authentication.getName());
    model.addAttribute("user", user);
    model.addAttribute("userAuthorities", authentication.getAuthorities());
    return "user";
}

修改 User.html 模板：

<div sec:authorize="isAuthenticated()" th:text="${userAuthorities}"></div>

方案3：检查依赖版本匹配 #

确保 spring-boot-starter-thymeleaf 和 spring-boot-starter-security 依赖同步升级到 Spring Boot 3 对应版本，Native 模式下 Thymeleaf Security 方言的 AOT 自动配置需正常生效。

内容的提问来源于stack exchange，提问作者Jack Bourner