spring-social集成问题：SecurityContextHolder获取Authentication返回空及令牌设置咨询

我之前在做Spring Social集成的时候也碰到过一模一样的问题，结合你用的1.1.4版本，咱们一步步来排查和解决：

1. 检查认证后置处理器的配置 #

Spring Social默认不会自动把社交登录的结果存入SecurityContext，得手动配置SocialAuthenticationSuccessHandler来完成这个动作。你可以在SpringSocialConfigurer里通过对象后置处理器添加这个逻辑：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SocialAuthenticationServiceLocator authServiceLocator;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        SpringSocialConfigurer socialConfigurer = new SpringSocialConfigurer()
                .addObjectPostProcessor(new ObjectPostProcessor<SocialAuthenticationFilter>() {
                    @Override
                    public <O extends SocialAuthenticationFilter> O postProcess(O filter) {
                        filter.setAuthenticationSuccessHandler((request, response, authentication) -> {
                            // 把认证结果存入SecurityContext
                            SecurityContextHolder.getContext().setAuthentication(authentication);
                            // 这里可以自定义登录成功后的跳转逻辑
                            response.sendRedirect("/home");
                        });
                        return filter;
                    }
                });

        http
                .authorizeRequests()
                .antMatchers("/auth/**", "/login/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .apply(socialConfigurer);
    }

    // 其他必要的Bean配置，比如SocialUserDetailsService等
}

2. 实现SocialUserDetailsService接口 #

Spring Social需要通过这个接口把Twitter返回的用户信息转换成Spring Security认可的SocialUserDetails对象，这是生成Authentication的核心前提。你得自己实现这个接口：

@Service
public class CustomSocialUserDetailsService implements SocialUserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public SocialUserDetails loadUserByUserId(String twitterUserId) throws UsernameNotFoundException {
        // 根据Twitter用户ID查询本地用户，没有的话就创建新用户
        User localUser = userRepository.findByTwitterId(twitterUserId);
        if (localUser == null) {
            localUser = new User();
            localUser.setTwitterId(twitterUserId);
            // 补充其他必要的用户字段
            userRepository.save(localUser);
        }
        // 返回Spring Security需要的SocialUser对象
        return new SocialUser(localUser.getUsername(), localUser.getPassword(),
                AuthorityUtils.createAuthorityList("ROLE_USER"));
    }
}

3. 确认Twitter连接工厂与回调配置 #

确保你的社交配置类正确初始化了Twitter连接工厂，并且回调路径/auth/twitter没有被Spring Security拦截：

@Configuration
@EnableSocial
public class SocialConfig implements SocialConfigurer {

    @Autowired
    private DataSource dataSource;

    @Override
    public void addConnectionFactories(ConnectionFactoryConfigurer configurer, Environment env) {
        // 加载配置文件中的Twitter密钥
        configurer.addConnectionFactory(new TwitterConnectionFactory(
                env.getProperty("twitter.consumerKey"),
                env.getProperty("twitter.consumerSecret")
        ));
    }

    @Override
    public UserIdSource getUserIdSource() {
        // 用认证后的用户名作为用户ID来源
        return new AuthenticationNameUserIdSource();
    }

    @Override
    public UsersConnectionRepository getUsersConnectionRepository(ConnectionFactoryLocator locator) {
        // 用JDBC存储用户与社交平台的连接信息
        return new JdbcUsersConnectionRepository(dataSource, locator, Encryptors.noOpText());
    }
}

4. 排查SecurityContext的存储问题 #

如果是常规Web应用，SecurityContext默认存在HttpSession里，要确保回调请求的Session没有丢失（比如不要在回调路径上启用无状态配置）。另外，SecurityContextHolder用的是ThreadLocal策略，要保证处理回调的线程能正确拿到Authentication对象。

5. 关键节点调试 #

可以通过加日志或断点跟踪以下节点：

• SocialAuthenticationFilter的doFilter方法：查看是否成功获取到Twitter的Connection
• SocialAuthenticationProvider的authenticate方法：确认是否生成了有效的Authentication对象
• 自定义的AuthenticationSuccessHandler：检查Authentication参数是否正常传入

按照这些步骤排查下来，应该就能解决SecurityContext中Authentication为null的问题了。

内容的提问来源于stack exchange，提问作者TradeMore Dev