使用MockMVC测试Spring Security MVC应用时SecurityContextHolder的重置位置

问题原因 #

• SecurityContextHolder默认使用ThreadLocal存储认证上下文，MockMvc测试默认在同一线程内执行所有请求，第一次请求写入的上下文如果没有被清理，会被同线程的第二次请求直接复用。
• Spring Security默认提供的SecurityContextPersistenceFilter负责请求结束后自动清理上下文，如果你自定义的JWT认证逻辑绕开了该过滤器的执行流程，或者过滤链中没有配置该过滤器，就会导致上下文残留。
• 手动重置未生效的常见原因是重置时机错误：比如仅在请求发起前重置，没有覆盖请求执行完成后的场景，或是清理逻辑未放在finally块中，请求抛出异常时未执行清理。

正确解决方案 #

1. 测试侧临时修复 #

适用于快速解决测试场景的残留问题：

• 每次调用mockMvc.perform()后，在finally块中显式清理上下文：

// 第一次请求执行
try {
    mvc.perform(get("/test/api1")
        .header("Authorization", "Bearer first-jwt-token"))
        .andExpect(status().isOk());
} finally {
    SecurityContextHolder.clearContext();
}

// 第二次请求执行，上下文已清空
try {
    mvc.perform(get("/test/api2")
        .header("Authorization", "Bearer second-jwt-token"))
        .andExpect(status().isOk());
} finally {
    SecurityContextHolder.clearContext();
}

• 全局测试配置可添加Spring Security自带的测试监听器，自动在每个测试方法执行完成后清理上下文：

@RunWith(SpringRunner.class)
@WebMvcTest(controllers = TestController.class)
@TestExecutionListeners(
    listeners = SecurityContextTestExecutionListener.class,
    mergeMode = TestExecutionListeners.MergeMode.MERGE_WITH_DEFAULTS
)
public class ControllerTest {
    // 测试逻辑
}

2. 代码侧永久修复 #

从根源避免生产和测试环境的上下文泄露：

• 确保Spring Security过滤链中SecurityContextPersistenceFilter的顺序在自定义JWT PreAuthenticationFilter之前，该过滤器会自动完成请求前上下文初始化、请求后上下文清理的逻辑，无需手动处理。
• 若确实需要自定义上下文存储逻辑，在JWT过滤器的请求处理逻辑外层包裹finally块执行清理：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    try {
        // 自定义JWT解析、认证、存入SecurityContextHolder逻辑
        filterChain.doFilter(request, response);
    } finally {
        SecurityContextHolder.clearContext();
    }
}

内容的提问来源于stack exchange，提问作者Merrill Wall