Spring Boot微服务配置类复用问题：SecurityContext为空如何解决？

当然可以创建供所有微服务复用的Feign全局配置类，你遇到的SecurityContextHolder.getContext()返回null问题，核心原因是Authentication的获取时机错误，以下是具体解决方案和替代方案：

一、问题根源 #

你原来的代码里，在RequestInterceptor Bean初始化阶段就调用SecurityContextHolder.getContext().getAuthentication()——此时Spring容器刚启动，还没有任何用户请求，SecurityContext里自然没有认证信息，所以返回null。正确的做法是把上下文获取逻辑放到每次Feign请求执行时。

二、修正后的可复用配置类 #

修改RequestInterceptor的实现，将Authentication的获取移到拦截逻辑内部，确保每次请求时才读取当前上下文：

@Configuration
public class FeignGlobalConfiguration {
    @Bean
    public ErrorDecoder errorDecoder() {
        return new RetrieveMessageErrorDecoder();
    }

    @Bean
    public RequestInterceptor requestInterceptor(){
        return requestTemplate -> {
            // 每次Feign请求执行时，获取当前线程的认证上下文
            Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
            if (authentication != null) {
                requestTemplate.header(JwtClaims.USERNAME, authentication.getPrincipal().toString());
                requestTemplate.header(JwtClaims.CLIENT, authentication.getDetails().toString());
                requestTemplate.header(JwtClaims.TOKEN, authentication.getCredentials().toString());
                requestTemplate.header(JwtClaims.ROLES, authentication.getAuthorities().toString());
            }
        };
    }
}

三、公共模块的正确引入方式 #

1. 创建公共模块：把上述配置类放到单独的Maven/Gradle模块中，确保模块包含必要依赖（如spring-cloud-starter-openfeign、spring-security-web）。
2. 引入依赖：在各微服务的pom.xml中添加该公共模块的依赖。
3. 确保配置类被扫描：
   • 方式一：在微服务启动类上添加@Import(FeignGlobalConfiguration.class)，手动导入配置；
   • 方式二：在公共模块的resources/META-INF/spring/org.springframework.boot.autoconfigure.AutoConfiguration.imports文件中，写入配置类的全限定名，实现Spring Boot自动配置（2.7+版本推荐）。

四、替代方案 #

1. 利用Spring Security自带的Feign拦截器 #

如果项目基于Spring Security，可以直接使用官方提供的拦截器自动传递认证信息，无需手动处理：

@Bean
public RequestInterceptor oauth2FeignRequestInterceptor(OAuth2AuthorizedClientService clientService) {
    return new OAuth2FeignRequestInterceptor(
            SecurityContextHolder.getContext(),
            clientService,
            new DefaultOAuth2ClientContext()
    );
}

2. 从当前请求头直接读取信息 #

如果不想依赖SecurityContext，可以在网关或入口服务将认证信息放入请求头，Feign拦截器直接读取当前请求的头信息进行传递：

@Bean
public RequestInterceptor requestInterceptor(HttpServletRequest request) {
    return requestTemplate -> {
        String token = request.getHeader(JwtClaims.TOKEN);
        if (token != null) {
            requestTemplate.header(JwtClaims.TOKEN, token);
            // 其他用户信息可同理从request头中获取
        }
    };
}

3. 自定义ThreadLocal上下文传递工具 #

如果涉及异步调用场景（比如Feign请求在异步线程中执行），可以自定义ThreadLocal工具类保存认证上下文，避免线程切换导致的上下文丢失：

public class AuthContextHolder {
    private static final ThreadLocal<Authentication> AUTH_CONTEXT = new ThreadLocal<>();

    public static void setAuthentication(Authentication auth) {
        AUTH_CONTEXT.set(auth);
    }

    public static Authentication getAuthentication() {
        return AUTH_CONTEXT.get();
    }

    public static void clear() {
        AUTH_CONTEXT.remove();
    }
}

然后在请求入口（比如过滤器）调用AuthContextHolder.setAuthentication()保存上下文，Feign拦截器中用AuthContextHolder.getAuthentication()读取即可。

内容的提问来源于stack exchange，提问作者Juan Jose Garcia