Spring Boot+Vaadin项目@Async丢失认证信息，替换SecurityContextHolder策略是否可行？

直接重写configure的影响 #

直接把SecurityContextHolder的策略改成MODE_INHERITABLETHREADLOCAL会替换掉Vaadin自带的VaadinAwareSecurityContextHolderStrategy，这绝对会搞乱Vaadin的安全逻辑。Vaadin的这个策略是专门适配它的UI线程模型的，能正确处理UI请求的生命周期——比如UI线程和后台线程的安全上下文隔离、会话关联这些细节。替换之后，很可能出现UI交互时用户身份丢失、或者不同用户的安全上下文串线的问题。

推荐解决方案 #

方案1：自定义SecurityContextHolder策略，兼顾Vaadin和线程继承 #

写一个自定义策略类，继承Vaadin的VaadinAwareSecurityContextHolderStrategy，同时加上InheritableThreadLocal的特性，这样既能保留Vaadin对UI安全上下文的处理，又能让@Async线程继承认证信息：

public class InheritableVaadinAwareSecurityContextHolderStrategy extends VaadinAwareSecurityContextHolderStrategy {
    private static final ThreadLocal<SecurityContext> inheritableContextHolder = new InheritableThreadLocal<>();

    @Override
    public void setContext(SecurityContext context) {
        super.setContext(context);
        inheritableContextHolder.set(context);
    }

    @Override
    public SecurityContext getContext() {
        SecurityContext vaadinContext = super.getContext();
        if (vaadinContext != null) {
            return vaadinContext;
        }
        return inheritableContextHolder.get();
    }

    @Override
    public void clearContext() {
        super.clearContext();
        inheritableContextHolder.remove();
    }
}

然后在你的SecurityConfig的configure方法里设置这个自定义策略：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    SecurityContextHolder.setStrategyName(InheritableVaadinAwareSecurityContextHolderStrategy.class.getName());
}

方案2：给@Async方法手动传安全上下文 #

如果不想改全局的策略，也可以在调用异步方法的时候，手动把当前的SecurityContext传过去，在异步方法内部设置好：

// 调用异步方法的地方
SecurityContext currentContext = SecurityContextHolder.getContext();
asyncService.doAsyncTask(currentContext);

// 异步服务类里的方法
@Async
public void doAsyncTask(SecurityContext context) {
    SecurityContextHolder.setContext(context);
    try {
        // 这里执行需要认证信息的操作
    } finally {
        SecurityContextHolder.clearContext();
    }
}

这种方式更灵活，只针对你需要的异步方法生效，不会影响Vaadin全局的安全逻辑。

方案3：配置自定义TaskExecutor自动传递上下文 #

这是最优雅的方式——配置一个自定义的TaskExecutor，让它在执行异步任务时自动复制当前的SecurityContext：

@Bean
public TaskExecutor asyncTaskExecutor() {
    ThreadPoolTaskExecutor executor = new ThreadPoolTaskExecutor();
    executor.setCorePoolSize(5);
    executor.setMaxPoolSize(10);
    executor.setQueueCapacity(25);
    // 添加任务装饰器，把当前SecurityContext复制到异步线程
    executor.setTaskDecorator(runnable -> {
        SecurityContext context = SecurityContextHolder.getContext();
        return () -> {
            try {
                SecurityContextHolder.setContext(context);
                runnable.run();
            } finally {
                SecurityContextHolder.clearContext();
            }
        };
    });
    executor.initialize();
    return executor;
}

然后在@Async注解里指定用这个executor：

@Async("asyncTaskExecutor")
public void doAsyncTask() {
    // 这里执行操作，已经能拿到认证信息了
}

这种方式不用改Vaadin的安全策略，也不用手动传参数，全局生效所有用这个executor的异步方法。

总结 #

• 别直接替换成MODE_INHERITABLETHREADLOCAL，会坑Vaadin的UI安全逻辑。
• 优先选方案3，其次是方案1，如果只有少数异步方法需要处理，用方案2也没问题。

内容的提问来源于stack exchange，提问作者Shane Ross