Spring Boot中Scheduled更新用户信息未同步Spring Security如何解决

用户登录成功后，Spring Security会将当前登录的用户信息（Principal）序列化后存储到SecurityContextHolder中，默认会话维度存储在内存/共享会话存储中。后台定时任务直接更新数据库的用户记录不会主动触发SecurityContext中缓存的Principal更新，因此未重新登录的用户拿到的始终是登录时刻的旧用户数据。这也是为什么其他实体更新操作正常，只有用户实体查询出现数据不一致的问题。

方案1：更新数据库后主动刷新已登录用户的Principal（最优，无业务侵入） #

该方案适合单机/分布式会话统一管理的场景，不需要修改业务层获取用户的逻辑。

第一步：配置会话注册表 #

首先在Spring Security配置类中开启会话管理，注入SessionRegistry用于管理所有活跃登录会话：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 省略其他安全配置
            .sessionManagement(session -> session
                .maximumSessions(-1) // 可根据业务调整单用户最大登录会话数，-1为不限制
                .sessionRegistry(sessionRegistry())
            );
        return http.build();
    }

    @Bean
    public SessionRegistry sessionRegistry() {
        return new SessionRegistryImpl();
    }
}

第二步：定时任务更新用户后同步刷新Principal #

修改定时任务逻辑，更新数据库后遍历所有活跃会话，找到对应用户的会话并更新其SecurityContext中的用户信息：

@Autowired
private SessionRegistry sessionRegistry;

@Scheduled(fixedRate = 10_000)
public void job() {
    Integer targetUserId = 1;
    // 1. 更新数据库用户信息
    User user = userRepo.findById(targetUserId).get();
    user.setEmail("someNewEmail@gmail.com");
    user = userRepo.save(user);
    
    // 2. 同步更新所有已登录该用户的会话中的Principal
    List<Object> allPrincipals = sessionRegistry.getAllPrincipals();
    for (Object principal : allPrincipals) {
        if (principal instanceof LoginUser loginUser) { // LoginUser为你自己实现的UserDetails实现类
            if (loginUser.getUserId().equals(targetUserId)) {
                // 遍历该用户的所有活跃会话
                List<SessionInformation> sessions = sessionRegistry.getAllSessions(principal, false);
                for (SessionInformation sessionInfo : sessions) {
                    // 构造新的Authentication对象，放入更新后的用户信息
                    UsernamePasswordAuthenticationToken newAuth = new UsernamePasswordAuthenticationToken(
                        user,
                        loginUser.getPassword(),
                        loginUser.getAuthorities()
                    );
                    // 更新会话对应的SecurityContext
                    SecurityContextImpl securityContext = new SecurityContextImpl();
                    securityContext.setAuthentication(newAuth);
                    // 单机场景直接更新Session属性
                    request.getSession().setAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, securityContext);
                    // 分布式场景如果会话存在Redis，直接更新Redis中对应sessionId的SecurityContext即可
                }
            }
        }
    }
}

方案2：封装统一获取当前用户工具类（开发成本最低） #

如果不想修改会话管理逻辑，可以封装全局工具类，每次获取当前用户时直接查数据库返回最新结果，所有业务层统一调用该工具类即可，不需要每个接口单独处理：

@Component
public class SecurityUtils {
    private static UserRepo staticUserRepo;

    @Autowired
    public void setUserRepo(UserRepo userRepo) {
        staticUserRepo = userRepo;
    }

    public static User getCurrentLoginUser() {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth == null || !(auth.getPrincipal() instanceof LoginUser loginUser)) {
            throw new RuntimeException("用户未登录");
        }
        // 每次直接查数据库返回最新数据
        return staticUserRepo.findById(loginUser.getUserId()).orElseThrow(() -> new RuntimeException("用户不存在"));
    }
}

业务层调用直接用User user = SecurityUtils.getCurrentLoginUser();即可，不需要再从Authentication中拿旧的Principal。

方案3：用户信息添加缓存并主动失效（性能与实用性平衡） #

如果用户量较大，每次查数据库性能开销高，可以给用户查询添加全局缓存（如Caffeine、Redis），定时任务更新用户后删除对应缓存，工具类优先从缓存拿用户信息，缓存不存在再查数据库。

内容的提问来源于stack exchange，提问作者Blogger 2015