多线程环境下Spring Security预认证主体变更触发重认证失败问题咨询

• 当前出现的主体串号、误触发重认证、密码校验失败，本质是三类配置适配缺失：
  1. RequestHeaderAuthenticationFilter开启的checkForPrincipalChanges=true 逻辑需要对比当前请求的请求头身份和SecurityContext中存储的旧身份，叠加默认HttpSession存储的并发读写竞态，会让A用户的请求读到B用户的SecurityContext数据，误判定为主体变更，触发重认证流程
  2. 自定义CustomAuthenticationProvider未遵循预认证流程的无密码校验约定，在重认证分支保留了密码比对逻辑，才会出现重认证时密码不匹配的校验失败
  3. 默认SecurityContext和当前执行线程强绑定，业务侧使用线程池做异步处理时，没有配置上下文的传递与清理机制，会出现线程复用导致的SecurityContext残留、串号问题

调整预认证过滤器并发适配参数 #

• 将userRoleProcessingFilter中的checkForPrincipalChanges属性值从true改为false。该参数设计适配同一会话内用户身份主动切换的校验，在请求头预认证场景下，每个请求的身份由上游网关注入的请求头实时决定，不需要对比旧SecurityContext做变更判定，开启后会在并发Session读写时触发大量误判
• 增加checkPrincipalExists=false配置，跳过“当前SecurityContext已存在认证主体就跳过校验”的逻辑，保证每个请求都实时从请求头构造合法的认证主体
• 调整SecurityContext存储策略，避免多请求并发读写Session的竞态：将原有的无参HttpSessionSecurityContextRepository修改为禁止自动创建Session的配置，设置allowSessionCreation=false，预认证场景下不需要将SecurityContext持久化到Session跨请求复用，从根源上切断并发读写的共享数据源

修正预认证Provider的校验逻辑 #

• 自定义CustomAuthenticationProvider不要直接实现AuthenticationProvider接口，必须继承PreAuthenticatedAuthenticationProvider，移除原实现中额外的密码比对逻辑。预认证的核心是信任上游传递的身份凭证，不需要做密码校验，自定义实现中如果保留了additionalAuthenticationChecks的密码比对分支，就会在误触发重认证时拿预构造的临时凭证和数据库存储的密码做匹配，必然出现校验失败
• CustomUserDetailsService返回的用户对象中，凭证字段固定设置为N/A，避免后续逻辑触发密码匹配分支

补充多线程上下文传递配置 #

• 启动时显式指定SecurityContextHolder的存储策略为MODE_INHERITABLETHREADLOCAL，支持父线程的SecurityContext向子线程传递
• 业务侧使用的自定义线程池，需要用DelegatingSecurityContextExecutorService做包装，保证每个任务执行前绑定当前请求的SecurityContext，任务执行完成后清理上下文，避免线程复用导致的上一个请求的身份数据残留

• SecurityContext持久化配置

<bean id="securityContextRepository" class="org.springframework.security.web.context.HttpSessionSecurityContextRepository">
    <property name="allowSessionCreation" value="false"/>
</bean>
<bean id="securityContextFilter" class="org.springframework.security.web.context.SecurityContextPersistenceFilter">
    <constructor-arg ref="securityContextRepository"/>
    <property name="forceEagerSessionCreation" value="false"/>
</bean>

• 预认证过滤器配置

<bean id="userRoleProcessingFilter" class="org.springframework.security.web.authentication.preauth.RequestHeaderAuthenticationFilter">
    <property name="principalRequestHeader" value="CUSTOM_USER"/>
    <property name="credentialsRequestHeader" value="CUSTOM_CRED"/>
    <property name="authenticationManager" ref="authenticationManager"/>
    <property name="continueFilterChainOnUnsuccessfulAuthentication" value="false"/>
    <property name="exceptionIfHeaderMissing" value="false"/>
    <!-- 关闭并发易误判的主体变更校验 -->
    <property name="checkForPrincipalChanges" value="false"/>
    <property name="checkPrincipalExists" value="false"/>
</bean>

• 预认证Provider配置

<bean id="authenticationProvider" class="org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationProvider">
    <property name="preAuthenticatedUserDetailsService" ref="customUserDetailsService"/>
</bean>
<bean id="customUserDetailsService" class="com.common.authorization.spring.custom.CustomUserDetailsService"/>

内容的提问来源于stack exchange，提问作者user1631072