首次加载时HttpServletRequest.getUserPrincipal()返回null问题

该现象由两个核心问题共同导致：

• WebLogic安全上下文绑定逻辑触发滞后：WebLogic 14.1.1默认仅对匹配安全约束、需要认证的请求提前完成用户身份校验和Principal与Request对象的绑定。如果/username接口被配置为匿名可访问，首次请求进入Controller层时容器还未完成会话与安全上下文的关联，getUserPrincipal()就会返回null；页面刷新时会话已经被容器识别注册，安全上下文绑定完成，接口就能正常返回用户名。
• 前端首次请求未携带认证凭证：Vue项目常用的axios、fetch客户端默认不会在跨域请求中携带JSESSIONID、WebLogic SSO令牌等认证Cookie。首次发起接口请求时相当于匿名访问，容器自然无法识别用户身份；首次请求响应后浏览器才会存储服务端返回的Set-Cookie信息，后续请求（包括刷新后的请求）携带Cookie后就能正常通过身份校验。

后端配置调整（WebLogic + Spring） #

• 为用户信息接口配置强制安全校验，触发容器提前绑定安全上下文
  在项目web.xml中添加如下安全约束，确保/username接口不会被匿名访问逻辑跳过身份校验：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>UserAuthAPI</web-resource-name>
        <url-pattern>/username</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>*</role-name>
    </auth-constraint>
</security-constraint>

配置完成后，WebLogic会在请求进入Spring Controller前就完成身份校验和Principal绑定，不会出现业务代码执行时用户信息还未挂载到Request对象的时序问题。

• 配置Spring跨域规则允许凭证携带
  在Spring MVC配置类中显式开启跨域请求的凭证支持，避免Cookie被浏览器拦截：

@Configuration
public class WebCorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOriginPatterns("*")
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                .allowCredentials(true)
                .maxAge(3600);
    }
}

• 可选兜底方案：如果调整安全约束后仍有偶发null的情况，可以直接调用WebLogic原生安全上下文获取用户信息，不依赖Request对象的封装方法：

import weblogic.security.Security;
import java.security.Principal;
import javax.security.auth.Subject;

// 替换原有request.getUserPrincipal()逻辑
Subject subject = Security.getCurrentSubject();
Principal p = subject.getPrincipals().iterator().hasNext() ? 
        subject.getPrincipals().iterator().next() : null;

前端配置调整（Vue 3） #

• 全局配置请求客户端自动携带认证凭证，确保首次接口请求就带上Cookie信息
  如果使用axios作为请求库，在请求初始化文件中添加全局配置：

import axios from 'axios'
// 所有请求默认携带域下Cookie
axios.defaults.withCredentials = true

如果使用原生fetch发起请求，每个请求需要显式配置credentials参数：

const getUsername = async () => {
  const res = await fetch('/username', {
    credentials: 'include'
  })
  return res.json()
}

• 部署时尽量将前端静态资源与后端接口部署在同根域名下，避免跨域场景下Cookie写入、识别的时序差问题，从部署层面消除首次加载的身份识别延迟。

之前采用的“接口返回undefined就自动重载页面”的方案本质是靠第二次请求补上缺失的认证Cookie、触发容器绑定安全上下文，属于临时兼容逻辑，完成上述配置后即可移除该逻辑，实现首次加载正常获取用户名。

内容的提问来源于stack exchange，提问作者luis alberto juarez