如何通过WebClient传递AuthPrincipal对象满足接口权限校验要求

@AuthenticationPrincipal 标注的Controller参数是Spring Security框架根据请求携带的身份凭证自动解析注入的，不需要调用方主动传递AuthPrincipal对象。

常规场景解决方案（优先使用） #

你现在已经在WebClient请求中携带了Bearer Token，只要满足以下条件，目标接口的AuthPrincipal参数会被自动填充：

• 你传入的Token是目标服务认可的合法有效凭证
• 目标服务的Spring Security配置包含Token解析逻辑，能正确从Bearer Token中解析出对应的AuthPrincipal信息
• 目标接口路径没有被配置为Spring Security的匿名访问资源

如果现在principal为空，优先排查以下两点：

• 检查Token拆分逻辑是否正确：你当前使用token.split(" ")[1]取Token值，要保证传入的token参数确实是Bearer {token}格式，避免拆分错误导致传错Token，可优化代码如下：

.headers(h -> {
    String realToken = token.startsWith("Bearer ") ? token.substring(7) : token;
    h.setBearerAuth(realToken);
})

• 检查目标服务的Spring Security配置，确认请求路径在认证过滤链的覆盖范围内，且Token解析逻辑能正确映射为你定义的AuthPrincipal类型。

特殊场景解决方案（服务间调用无需重复解析Token） #

如果你的场景是服务内部调用，当前服务已经解析完Principal，不想让目标服务重复解析Token，可以自定义请求头传递Principal字段：

1. WebClient调用侧添加自定义头：

.headers(h -> {
    String realToken = token.startsWith("Bearer ") ? token.substring(7) : token;
    h.setBearerAuth(realToken);
    // 传递Principal的核心字段，注意非ASCII字符要做URL编码
    h.add("X-Auth-Principal-Id", String.valueOf(principal.getId()));
    // 其他需要传递的字段可依次添加
})

2. 目标服务侧可选择两种方式读取：
   • 直接在Controller方法中添加@RequestHeader("X-Auth-Principal-Id") Long id参数读取
   • 自定义HandlerMethodArgumentResolver，从请求头读取字段构造AuthPrincipal对象，替换原有的Security自动注入逻辑

内容的提问来源于stack exchange，提问作者Sang Kim