LoopBack4授权报错'security.user'未绑定到应用上下文问题求助

该报错本质是授权逻辑执行时，请求上下文未绑定经过身份认证的用户实例，JWT校验通过后解析的用户信息没有正确挂载到security.user绑定键，可按以下步骤排查：

1. 检查JWT认证策略的绑定逻辑 #

打开你自定义的JWT认证策略文件，检查authenticate方法的末尾，是否存在将解析到的用户实例绑定到上下文的代码：

import {SecurityBindings} from '@loopback/security';

// 校验令牌、解析用户信息后的代码
context.bind(SecurityBindings.USER).to(validatedUser);

常见错误包括：漏写该行绑定代码、导错SecurityBindings的依赖包、手动写错绑定键名称。

2. 检查组件注册顺序 #

打开项目的application.ts文件，确认组件注册顺序为先注册认证组件，再注册授权组件，顺序颠倒会导致授权逻辑先于认证逻辑执行，无法拿到已认证的用户信息：

// 正确的注册顺序
this.component(AuthenticationComponent);
this.component(AuthorizationComponent);

3. 检查接口装饰器配置 #

检查UserFeedbackCount对应的接口方法，是否同时添加了@authenticate('jwt')和@authorize两个装饰器。如果仅添加授权装饰器未加认证装饰器，请求不会触发JWT校验流程，自然不会生成security.user绑定。

4. 检查授权提供者的上下文取值逻辑 #

你新增Manager角色后如果修改了自定义授权提供者，要注意security.user是请求级别的绑定键，仅能从请求上下文获取，不能从全局应用上下文取值：

// 错误写法
const user = await this.app.get(SecurityBindings.USER);

// 正确写法，注入请求上下文后取值
const user = await this.requestCtx.get(SecurityBindings.USER);

完成上述排查后可重启服务验证，多数场景下问题可解决。

内容的提问来源于stack exchange，提问作者VishnuKumar ps