如何在Project Reactor Operator中传递Security Context？

你的核心问题在于传统ThreadLocal实现的SecurityContextHolder无法在Reactor异步流中跨线程传递，而Spring WebFlux Security是将认证上下文存储在Reactor的Context中，而非ThreadLocal里。另外你的代码存在操作符使用错误，导致上下文传递逻辑失效。

关键问题点 #

1. SecurityContextHolder.getContext()基于ThreadLocal实现，Reactor异步流会频繁切换线程，手动设置的ThreadLocal上下文无法跟随流传递。
2. 代码中onNext用法错误：onNext是消费元素的终端操作，不能返回Mono，应使用flatMap这类转换操作符。
3. contextCapture()仅能捕获当前线程的ThreadLocal上下文到Reactor Context，但Spring WebFlux Security不会自动把你手动设置的ThreadLocal上下文同步到Reactor Context。

解决方案 #

方案一：手动将SecurityContext绑定到Reactor Context #

直接将认证上下文写入Reactor的Context中，在需要的地方通过deferContextual或ReactiveSecurityContextHolder获取：

public void handleRequest(Request request) {
    // 创建并初始化SecurityContext
    SecurityContext securityContext = SecurityContextHolder.createEmptyContext();
    securityContext.setAuthentication(new BearerTokenAuthenticationToken(request.authorization()));

    Mono.just(request)
        // 将SecurityContext写入Reactor Context
        .contextWrite(ReactiveSecurityContextHolder.withSecurityContext(Mono.just(securityContext)))
        .flatMap(req -> Mono.deferContextual(contextView -> {
            // 从Reactor Context中读取SecurityContext
            SecurityContext ctx = contextView.get(ReactiveSecurityContextHolder.CONTEXT_KEY);
            Authentication auth = ctx.getAuthentication();
            log.info("获取到的认证信息：{}", auth);

            // 调用外部服务前，若service-client依赖ThreadLocal，临时将上下文写入ThreadLocal
            return Mono.fromRunnable(() -> {
                SecurityContextHolder.setContext(ctx);
                // 这里调用你的service-client方法
                // serviceClient.sendRequest();
            }).then(acknowledger.acknowledge());
        }))
        .subscribe();
}

方案二：配置Context Propagation自动同步上下文 #

如果你的service-client依赖ThreadLocal的SecurityContextHolder，可以通过Context Propagation库实现Reactor Context到ThreadLocal的自动同步：

1. 确保引入与Spring Boot版本匹配的context-propagation依赖
2. 手动注册SecurityContext的ThreadLocalAccessor：

@Configuration
public class ContextPropagationConfig {
    @Bean
    public ThreadLocalAccessor securityContextThreadLocalAccessor() {
        return new SecurityContextThreadLocalAccessor();
    }
}

配置完成后，在Reactor流中调用依赖ThreadLocal的代码时，上下文会自动从Reactor Context同步到ThreadLocal。

额外注意事项 #

• 不要混用传统SecurityContextHolder和Reactive上下文：在WebFlux环境中，优先使用ReactiveSecurityContextHolder操作Reactor Context中的认证信息。
• 检查依赖版本：确保spring-boot-starter-webflux、spring-boot-starter-security和context-propagation版本兼容，避免版本冲突导致上下文传播失效。

内容的提问来源于stack exchange，提问作者Anton