Spring中修改用户密码后如何刷新Security Context安全上下文

你可以在密码写入数据库的逻辑后，补充如下代码完成Security上下文的刷新：

// 方式1：复用已更新的user对象（前提是user实现了UserDetails接口，无需重复查库）
Authentication newAuthentication = new UsernamePasswordAuthenticationToken(
    user,
    user.getPassword(), // 若不需要在上下文中保留密码凭证，也可传入null
    user.getAuthorities()
);

// 方式2：通过UserDetailsService加载最新的用户信息，适合user未实现UserDetails的场景
// UserDetails updatedUser = userDetailsService.loadUserByUsername(user.getUsername());
// Authentication newAuthentication = new UsernamePasswordAuthenticationToken(
//     updatedUser,
//     updatedUser.getPassword(),
//     updatedUser.getAuthorities()
// );

// 替换上下文中的旧认证信息
SecurityContextHolder.getContext().setAuthentication(newAuthentication);

// 可选：如果项目使用Session持久化存储认证信息，需同步更新Session中的上下文
// request.getSession().setAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, SecurityContextHolder.getContext());

注意事项 #

• 如果项目开启了「记住我」功能，修改密码后需要调用rememberMeServices.loginSuccess(request, response, newAuthentication)重新生成记住我Cookie，避免旧凭证失效导致自动登录失败。
• 若使用JWT等无会话认证方案，无需操作Session和SecurityContext，只要生成新的有效JWT返回给前端替换旧凭证即可。

内容的提问来源于stack exchange，提问作者Артём Смирнов