Spring Security LDAP集成后偶尔获取登录用户错误问题求助

这种偶发的登录用户信息获取问题，我之前在处理LDAP集成时也碰到过几次，大概率和UserDetailsContextMapper的线程安全性或者上下文传递的时机有关，咱们一步步拆解排查：

Spring Security的组件会被多线程并发调用，如果你的自定义Mapper里用了类级别的非线程安全变量（比如成员变量存临时角色数据），就会出现多请求之间的数据覆盖，导致偶发的用户信息混乱。

举个典型的错误实现例子：

public class CustomLdapUserDetailsMapper implements UserDetailsContextMapper {
    // 类级别的非线程安全集合，并发时会被不同请求篡改
    private List<GrantedAuthority> tempAuthorities = new ArrayList<>();

    @Override
    public UserDetails mapUserFromContext(DirContextOperations ctx, String username, Collection<? extends GrantedAuthority> authorities) {
        tempAuthorities.clear();
        // 从LDAP属性中读取角色并添加到tempAuthorities
        String[] ldapRoles = ctx.getStringAttributes("memberOf");
        for (String role : ldapRoles) {
            tempAuthorities.add(new SimpleGrantedAuthority("ROLE_" + role.split(",")[0].substring(3)));
        }
        return new User(username, "", tempAuthorities);
    }
}

解决方法：把临时变量放到方法内部，或者用ThreadLocal隔离线程数据，确保每个请求的处理上下文完全独立：

public class CustomLdapUserDetailsMapper implements UserDetailsContextMapper {

    @Override
    public UserDetails mapUserFromContext(DirContextOperations ctx, String username, Collection<? extends GrantedAuthority> authorities) {
        // 方法内部的局部变量，天然线程安全
        List<GrantedAuthority> userAuthorities = new ArrayList<>();
        String[] ldapRoles = ctx.getStringAttributes("memberOf");
        for (String role : ldapRoles) {
            userAuthorities.add(new SimpleGrantedAuthority("ROLE_" + role.split(",")[0].substring(3)));
        }
        return new User(username, "", userAuthorities);
    }
}

如果你的自定义Mapper没有被正确关联到LDAP认证流程，Spring会默认使用LdapUserDetailsMapper，导致你设置的角色没有生效，进而出现权限校验或用户信息获取错误。

正确的配置应该明确指定自定义Mapper：

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomLdapUserDetailsMapper customLdapUserDetailsMapper;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasRole("USER")
                .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .ldapAuthentication()
                .userDnPatterns("uid={0},ou=users")
                .groupSearchBase("ou=groups")
                // 关键：绑定自定义的UserDetailsContextMapper
                .userDetailsContextMapper(customLdapUserDetailsMapper);
    }
}

如果你的应用中有异步操作或者使用了自定义线程池，SecurityContext可能不会自动传递到子线程中，导致在异步方法里获取登录用户信息时出现错误。

解决方法是给线程池添加TaskDecorator，手动传递SecurityContext：

@Bean
public TaskExecutor asyncTaskExecutor() {
    ThreadPoolTaskExecutor executor = new ThreadPoolTaskExecutor();
    executor.setCorePoolSize(5);
    executor.setMaxPoolSize(10);
    executor.setQueueCapacity(25);
    // 传递SecurityContext到子线程
    executor.setTaskDecorator(runnable -> {
        SecurityContext currentContext = SecurityContextHolder.getContext();
        return () -> {
            try {
                SecurityContextHolder.setContext(currentContext);
                runnable.run();
            } finally {
                SecurityContextHolder.clearContext();
            }
        };
    });
    executor.initialize();
    return executor;
}

偶发问题很难复现，建议开启Spring Security和LDAP的DEBUG日志，在出错时查看完整的用户加载流程、角色设置细节以及SecurityContext的变化：

# application.yml
logging:
  level:
    org.springframework.security: DEBUG
    org.springframework.ldap: DEBUG

通过日志可以快速定位是LDAP查询异常、Mapper处理逻辑错误，还是上下文传递环节出了问题。

内容的提问来源于stack exchange，提问作者Sundararaj Govindasamy