Spring Web应用并发场景下SecurityContext传递空指针问题求助

我来帮你分析下这个问题，其实这是Spring Security和线程池结合时的常见坑——SecurityContext默认和请求线程绑定，线程池的工作线程不会自动继承这个上下文。

问题根源 #

Spring Security的SecurityContextHolder默认使用THREADLOCAL存储策略，也就是说安全上下文是和当前线程绑定的。你在请求线程里初始化了线程池并提交任务，但线程池里的工作线程是独立的，它们并没有携带原请求线程的SecurityContext，所以当你在empService.getEmployeeDetails里调用SecurityContextHolder.getContext().getAuthentication()时，拿到的就是null，自然会抛出空指针异常。

解决方案 #

这里有两种常用的解决方式，你可以根据场景选择：

1. 手动传递并管理SecurityContext #

在提交任务前，先获取原请求线程的安全上下文，然后在任务执行时手动设置到工作线程中，执行完成后记得恢复工作线程原来的上下文（避免线程复用导致的上下文污染）。

修改你的任务代码如下：

// 在请求线程中预先获取当前安全上下文
final SecurityContext originalRequestContext = SecurityContextHolder.getContext();

List<Callable<Employee>> tasks = new ArrayList<Callable<Employee>>();
for (int i = 0; i < employeeArr.length; i++) {
    final int value = i;
    tasks.add(new Callable<Employee>() {
        public Employee call() throws Exception {
            // 保存工作线程原本的上下文
            SecurityContext workerThreadOriginalContext = SecurityContextHolder.getContext();
            try {
                // 将请求线程的安全上下文设置到当前工作线程
                SecurityContextHolder.setContext(originalRequestContext);
                // 执行业务逻辑
                return empService.getEmployeeDetails(employeeArr[value], finalFromDate);
            } finally {
                // 恢复工作线程原本的上下文，避免线程复用引发的权限问题
                SecurityContextHolder.setContext(workerThreadOriginalContext);
            }
        }
    });
}

2. 使用Spring提供的工具类（更优雅） #

Spring Security提供了DelegatingSecurityContextExecutorService和DelegatingSecurityContextCallable，可以自动帮你处理安全上下文的传递，不用手动编写恢复逻辑。

方式一：包装整个ExecutorService

ThreadPoolTaskExecutor threadPool = new ThreadPoolTaskExecutor();
threadPool.setCorePoolSize(10);
threadPool.initialize();
ExecutorServiceAdapter adapter = new ExecutorServiceAdapter(threadPool);

// 用Spring的工具类包装ExecutorService，自动传递安全上下文
ExecutorService secureExecutor = new DelegatingSecurityContextExecutorService(adapter);

// 后续提交任务和之前一样，不用修改Callable
List<Future<Employee>> result = secureExecutor.invokeAll(tasks);

方式二：包装单个Callable任务

如果你不想包装整个线程池，也可以单独包装每个Callable：

final SecurityContext currentContext = SecurityContextHolder.getContext();

tasks.add(new DelegatingSecurityContextCallable<>(
    () -> empService.getEmployeeDetails(employeeArr[value], finalFromDate),
    currentContext
));

注意事项 #

无论用哪种方式，都要注意线程复用的问题：如果不恢复工作线程的原有上下文，当下一个任务复用这个线程时，会带上之前任务的安全上下文，导致权限校验出现异常。

内容的提问来源于stack exchange，提问作者Thiru