Spring Security @AuthenticatedPrincipal注入null但SecurityContext认证正常原因咨询

核心原因（最高发） #

@AuthenticationPrincipal 注解默认注入的是Authentication.getPrincipal()方法的返回值，而非整个Authentication实例。如果SecurityContextHolder中存储的认证对象的principal属性类型不是ExpiringUsernameAuthenticationToken，类型不匹配就会注入null。
你代码中直接从SecurityContextHolder拿到的是完整的Authentication实例，和注解注入的目标对象不是同一个来源，才会出现两边结果不一致的情况。

其他可能的触发场景 #

• 未启用Spring Security的Web注解支持：如果你的安全配置类没有添加@EnableWebSecurity注解，对应的参数解析器AuthenticationPrincipalArgumentResolver不会自动注册，注解会失效。
• 自定义MVC参数解析器覆盖了默认逻辑：如果你手动实现了WebMvcConfigurer的addArgumentResolvers方法，没有将Spring Security自带的认证参数解析器加入列表，会导致注解无法被正确解析。
• 注解自定义表达式配置错误：如果@AuthenticationPrincipal中添加了expression属性，表达式执行结果为null或者类型不匹配，也会返回空值。
• 版本兼容性问题：你使用的是SAML认证相关的ExpiringUsernameAuthenticationToken，如果Spring Security核心版本和SAML扩展版本不兼容，会导致认证对象结构和参数解析逻辑不匹配。

修复方案 #

1. 如果你需要注入完整的Authentication实例，直接删除@AuthenticationPrincipal注解，将参数声明为对应类型即可，Spring MVC会自动完成注入：

@GetMapping("/centerPoint")
public void centerPoint(ExpiringUsernameAuthenticationToken token, HttpServletResponse response) throws IOException {
  // 直接使用token即可，无需额外注解
}

2. 如果你需要保留@AuthenticationPrincipal注解，添加expression = "#this"配置，指定返回整个认证对象：

public void centerPoint(@AuthenticationPrincipal(expression = "#this") ExpiringUsernameAuthenticationToken token, HttpServletResponse response) throws IOException

3. 检查安全配置类是否添加@EnableWebSecurity注解，如有自定义MVC参数解析器逻辑，确保AuthenticationPrincipalArgumentResolver被正确注册。
4. 排查Spring Security核心依赖和SAML扩展依赖的版本兼容性，避免版本冲突。

内容的提问来源于stack exchange，提问作者hotmeatballsoup