Spring Cloud Gateway中SecurityContextHolder获取Authentication返回空值求助

核心问题：WebFlux环境下误用Servlet版SecurityContextHolder #

你使用的是Spring WebFlux（通过@EnableWebFluxSecurity），而SecurityContextHolder是Servlet环境下的组件——WebFlux的认证上下文存储在Reactor的Context中，而非ThreadLocal，因此直接调用SecurityContextHolder.getContext().getAuthentication()必然返回null。

另外你的配置类中存在冗余的Servlet环境bean，也可能干扰认证上下文的传递。

步骤1：修改控制器，使用WebFlux专属的认证上下文获取方式 #

将控制器改为响应式写法，通过ReactiveSecurityContextHolder或@AuthenticationPrincipal获取认证信息：

方式1：通过ReactiveSecurityContextHolder获取完整Authentication #

@RestController
@RequestMapping("/app")
public class UserController {

    @Autowired
    DataSource dataSource;

    @PostMapping(path = "/authenticate", produces = MediaType.APPLICATION_JSON_VALUE)
    public Mono<String> getAuth(@RequestBody Map<String, Object> data) {
        return ReactiveSecurityContextHolder.getContext()
                .map(SecurityContext::getAuthentication)
                .map(auth -> {
                    if (auth != null) {
                        // 可根据需求提取用户信息，比如用户名、权限等
                        return String.format("认证成功：用户%s，权限%s", 
                            auth.getName(), 
                            auth.getAuthorities().toString());
                    } else {
                        return "未获取到认证信息";
                    }
                });
    }
}

方式2：通过@AuthenticationPrincipal直接获取OIDC用户信息 #

如果是OIDC认证（Keycloak属于此类），可以直接注入OidcUser对象：

@PostMapping(path = "/authenticate", produces = MediaType.APPLICATION_JSON_VALUE)
public Mono<String> getAuth(@RequestBody Map<String, Object> data,
                            @AuthenticationPrincipal Mono<OidcUser> oidcUser) {
    return oidcUser.map(user -> String.format("用户姓名：%s，邮箱：%s", 
        user.getFullName(), 
        user.getEmail()));
}

步骤2：清理Security配置类中的冗余Servlet组件 #

删除SessionAuthenticationStrategy相关bean（这是Servlet环境下的会话管理组件，WebFlux默认无状态认证，不需要该配置），并优化配置的链式写法：

@Configuration
@EnableWebFluxSecurity
@EnableReactiveMethodSecurity
public class SecurityConfig {

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http,
                                                            ReactiveClientRegistrationRepository clientRegistrationRepository) {
        http
                // 认证规则：先匹配具体路径，再匹配全局路径
                .authorizeExchange(exchanges -> exchanges
                        .pathMatchers("/app/**").authenticated()
                        .anyExchange().authenticated()
                )
                // 启用OIDC登录
                .oauth2Login(withDefaults())
                // OIDC登出处理
                .logout(logout -> logout
                        .logoutSuccessHandler(new OidcClientInitiatedServerLogoutSuccessHandler(clientRegistrationRepository))
                )
                // 允许同源iframe嵌套
                .headers(headers -> headers
                        .frameOptions(frame -> frame.mode(XFrameOptionsServerHttpHeadersWriter.Mode.SAMEORIGIN))
                )
                // 禁用CSRF（网关场景下合理）
                .csrf(csrf -> csrf.disable());

        return http.build();
    }
}

验证要点 #

1. 确保请求携带有效的OIDC认证令牌（通过Keycloak登录后生成的token）
2. 控制器方法返回类型必须为Mono/Flux，符合WebFlux响应式规范

内容的提问来源于stack exchange，提问作者user3458271