如何为Java HttpUrlConnection设置SecurityContext与Principal？

首先明确：HttpURLConnection作为HTTP客户端工具，无法直接设置服务端的SecurityContext——SecurityContext是服务端（通常是Spring Security）的线程局部上下文对象，仅存在于服务端处理请求的线程中。你需要从服务端认证逻辑或客户端模拟认证的角度解决问题，以下是可行方案：

方案1：确保Basic认证被服务端自动解析为Principal #

如果服务端使用Spring Security，默认的BasicAuthenticationFilter会自动解析请求头中的Basic凭证，将其转换为UserDetails并设置到SecurityContext的Principal中。你需要检查两点：

客户端：确认Basic认证头生成正确 #

确保你生成的Authorization头格式正确，代码示例：

String username = "your-user";
String password = "your-pass";
// 编码用户名密码为Base64
String credentials = username + ":" + password;
String encoded = Base64.getEncoder().encodeToString(credentials.getBytes(StandardCharsets.UTF_8));
// 设置请求头
httpCon.setRequestProperty("Authorization", "Basic " + encoded);

服务端：启用Basic认证解析 #

如果是Spring Boot，确保Security配置中启用了HTTP Basic认证，让服务端自动处理凭证并生成Principal：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .httpBasic(Customizer.withDefaults()); // 启用Basic认证，自动解析凭证到Principal
        return http.build();
    }
}

这样服务端的过滤器就能从SecurityContext中读取到正确的Principal了。

方案2：自定义请求头传递Principal信息（适用于自定义过滤器场景） #

如果服务端的自定义过滤器需要的Principal不是Basic认证提供的，可以通过自定义请求头传递用户标识，再在服务端过滤器中手动设置到SecurityContext：

客户端：添加自定义请求头 #

// 传递用户唯一标识（比如用户名、用户ID）
httpCon.setRequestProperty("X-Test-Principal", "test-user-id");

服务端：修改过滤器读取请求头并设置Principal #

public class CustomAuthFilter extends OncePerRequestFilter {
    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {
        String principalId = request.getHeader("X-Test-Principal");
        if (principalId != null) {
            // 根据标识加载用户信息（模拟从数据库查询）
            UserDetails user = userDetailsService.loadUserByUsername(principalId);
            // 构建认证对象并设置到SecurityContext
            Authentication auth = new UsernamePasswordAuthenticationToken(user, null, user.getAuthorities());
            SecurityContextHolder.getContext().setAuthentication(auth);
        }
        chain.doFilter(request, response);
    }
}

注意：这种方式仅建议在测试环境使用，生产环境需添加请求头校验逻辑防止篡改。

方案3：测试环境直接在服务端线程设置SecurityContext（仅限同JVM测试） #

如果你的嵌入式服务器和测试代码运行在同一个JVM中（比如Spring Boot的@SpringBootTest启动的服务器），可以在发送请求前，直接在测试线程中设置SecurityContext：

// 测试方法中，发送HttpURLConnection请求前执行
UserDetails testUser = User.withUsername("test")
                            .password("{noop}test-pass")
                            .roles("ADMIN")
                            .build();
Authentication auth = new UsernamePasswordAuthenticationToken(testUser, null, testUser.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(auth);

这种方式仅在当前JVM线程有效，若服务器是独立进程则无法生效。

内容的提问来源于stack exchange，提问作者texmelex