Spring Integration消息源侧认证授权及FTP场景疑问

你提到的通道拦截器是Spring Integration在消息通道层面的授权控制，但FTP入站流的认证逻辑和这个场景完全独立，我们拆解你的疑问逐一说明：

1. FTP入站流的认证发生在何处？ #

FTP入站适配器的认证是在建立FTP会话时完成的，核心依赖你配置的ftpSessionFactory。这个会话工厂已经包含了连接FTP服务器所需的用户名、密码（或密钥）等认证信息，每次轮询时，适配器都会通过这个工厂创建会话连接FTP服务器，只有通过FTP服务器的认证，才能读取远程目录的文件。

常见的ftpSessionFactory配置示例：

@Bean
public DefaultFtpSessionFactory ftpSessionFactory() {
    DefaultFtpSessionFactory sessionFactory = new DefaultFtpSessionFactory();
    sessionFactory.setHost("ftp.example.com");
    sessionFactory.setUsername("ftp_server_user");
    sessionFactory.setPassword("ftp_server_pwd");
    sessionFactory.setPort(21);
    return sessionFactory;
}

这里的用户名密码是用来和FTP服务器做认证的，和Spring Security的应用内用户主体无关。

2. FTP文件与集成流的认证关联？ #

FTP服务器上的文件本身没有绑定Spring Integration的用户主体信息（除非FTP服务器自身记录了文件上传者，但这是FTP服务器的能力，和Spring Integration无关）。Spring Integration的FTP入站适配器只是被动读取FTP服务器上的文件，它不会验证文件是谁上传的，只关心自己是否有权限通过FTP服务器的认证去读取该文件。

3. 普通用户上传的受限文件，用哪个主体评估权限？ #

这里的核心误区是混淆了FTP服务器的会话认证和Spring Integration消息通道的应用内授权：
当FTP入站适配器读取文件后，会将文件转换成消息发送到后续通道。如果后续通道被你配置的AuthorizationChannelInterceptor拦截（比如通道名匹配secured*），此时评估权限的用户主体，是执行该集成流的线程所关联的Spring Security Context。

默认情况下，Spring Integration的轮询任务在后台线程执行，这个线程默认没有绑定任何用户主体——也就是说，如果你的通道拦截器要求ADMIN或PRESIDENT角色，默认情况下这个消息会被拒绝，因为没有合法的认证主体。

4. 读取FTP文件的用户是什么？认证逻辑如何实现？ #

读取FTP文件的用户，就是你在ftpSessionFactory里配置的FTP服务器用户名——这个用户用于和FTP服务器建立连接、获取文件读取权限，和Spring Security的应用内用户是完全独立的两个概念。

如果要让后续的通道授权生效，你需要给执行轮询任务的线程绑定合法的Spring Security用户主体，常用方式是自定义任务执行器：

@Bean
public TaskExecutor securedFtpTaskExecutor() {
    ThreadPoolTaskExecutor executor = new ThreadPoolTaskExecutor();
    executor.setCorePoolSize(5);
    executor.setThreadNamePrefix("secured-ftp-");
    // 给线程绑定具备ADMIN角色的应用内用户
    executor.setTaskDecorator(runnable -> {
        Authentication auth = new UsernamePasswordAuthenticationToken(
            "ftp_service_account",
            null,
            AuthorityUtils.createAuthorityList("ROLE_ADMIN")
        );
        SecurityContextHolder.getContext().setAuthentication(auth);
        return () -> {
            try {
                runnable.run();
            } finally {
                SecurityContextHolder.clearContext();
            }
        };
    });
    executor.initialize();
    return executor;
}

然后在轮询器中使用这个执行器：

.poller(Pollers.fixedDelay(5000).taskExecutor(securedFtpTaskExecutor()))

总结 #

Spring Integration的通道授权是应用内的消息访问控制，而FTP入站流的认证是和外部FTP服务器的会话认证，二者是完全独立的安全环节。你之前的误区是把这两个环节的用户主体混为一谈——FTP的用户用于连接外部服务器，通道授权的用户是应用内的安全主体，需要显式绑定到执行任务的线程上才能生效。

内容的提问来源于stack exchange，提问作者hotmeatballsoup