Spring：如何为并行执行的Flux绑定SecurityContextHolder

• SecurityContextHolder 默认基于 ThreadLocal 实现安全上下文存储，每个线程独立持有自己的上下文副本，不会自动跨线程传递
• 你代码中通过 .parallel(2).runOn(Schedulers.parallel()) 将流的执行切换到了Reactor并行调度的独立线程池，这些调度线程完全没有继承 请求处理线程 的ThreadLocal值，因此在mapWithSecurityContextHolder执行时，从SecurityContextHolder取到的上下文是空值，最终触发NullPointerException。

方法1：请求线程提前捕获上下文值，透传到下游流 #

这是兼容性最好、无额外框架依赖的通用实现：

1. 把安全上下文的提取动作，放在流定义之前、请求处理线程上完成，绝对不要把这部分逻辑放在会被调度器切走线程的流操作里：

   // 这行代码必须在请求处理线程执行，不能挪到Flux的操作符里
   Authentication currentAuth = SecurityContextHolder.getContext().getAuthentication();
   Claims currentClaims = (Claims) currentAuth.getDetails();
   

2. 把提前取到的上下文值作为局部变量，传入下游map操作的逻辑中，替换原方法里依赖SecurityContextHolder取值的代码：

   Map<String, ?> result = Flux.range(1, 2)
       .parallel(2)
       .runOn(Schedulers.parallel())
       // 直接使用提前捕获的currentClaims，不再在调度线程里读SecurityContextHolder
       .map(num -> buildPairFromItem(num, currentClaims))
       .sequential()
       .publishOn(Schedulers.single())
       .collect(Collectors.toMap(Pair::getFirst, Pair::getSecond))
       .block();
   

3. 调整原mapWithSecurityContextHolder的实现逻辑：删除方法内部从SecurityContextHolder获取上下文的代码，方法入参新增Claims类型的参数，后续的业务逻辑直接使用入参的Claims值完成处理即可，和原有业务逻辑保持一致。

注意：不要尝试把整个SecurityContext对象直接透传到下游线程——因为ThreadLocal的引用本身是和线程绑定的，跨线程传递后依然无法通过原方式读取到值，必须在请求线程完成实际的上下文值提取动作。

方法2：适配Spring Security与Reactor的上下文桥接 #

如果你的技术栈是Spring WebFlux + Spring Security，可以借助框架自带的适配能力解决：

• 框架会自动把Spring Security的上下文同步到Reactor的响应式上下文中，替代原来基于ThreadLocal的读取方式
• 业务逻辑中不要直接调用SecurityContextHolder的ThreadLocal接口，改用Reactor上下文读取安全信息：

  // 从Reactor上下文读取，会自动透传到所有调度的线程中
  Mono<Authentication> authMono = ReactiveSecurityContextHolder.getContext()
      .map(SecurityContext::getAuthentication);
  

• 这种方式下，即使通过.parallel()/.runOn()切换到其他调度线程，安全上下文也会随Reactor流自动透传，不需要手动做线程绑定。

避坑提醒 #

• 不要自行给调度线程池做ThreadLocal的上下文拷贝逻辑：线程池存在线程复用特性，如果没有在任务执行结束后完整清理ThreadLocal值，极易出现不同请求之间的安全上下文串值问题，存在严重的安全风险
• 一旦流的执行通过runOn/publishOn操作符切离了请求处理线程，原ThreadLocal模式下的SecurityContextHolder就永远无法取到请求对应的安全值，必须通过提前捕获透传、或者响应式上下文桥接的方式传递信息

内容的提问来源于stack exchange，提问作者Jordi