Spring WebFlux WebSocket安全：基础认证集成问题求助

首先得明确：你遇到的问题是当前使用的Spring Security 5.0.3版本确实不支持WebFlux环境下的WebSocket安全集成，这和你提交的Spring Issue #5188里官方的回复完全一致——官方已经把这个功能排进了Spring Security 5.1.0 M2版本的开发计划，等这个版本发布后就能直接用官方提供的适配方案了。

现阶段的临时解决方案 #

在官方正式支持落地前，你可以用以下两种方式临时解决问题：

1. 手动在WebSocket Handler中做身份校验

直接在你的WebSocket处理器里提取握手请求中的认证信息，手动调用Spring Security的认证逻辑验证用户身份。给你一个Kotlin的示例参考：

import org.springframework.security.authentication.AuthenticationManager
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken
import org.springframework.security.core.context.SecurityContextHolder
import org.springframework.web.reactive.socket.WebSocketHandler
import org.springframework.web.reactive.socket.WebSocketSession
import reactor.core.publisher.Mono

class SecureWebSocketHandler(
    private val authenticationManager: AuthenticationManager
) : WebSocketHandler {

    override fun handle(session: WebSocketSession): Mono<Void> {
        // 从握手请求头中获取Authorization信息（比如JWT Token）
        val authHeader = session.handshakeInfo.headers.getFirst("Authorization")
        
        return if (authHeader?.startsWith("Bearer ") == true) {
            val token = authHeader.substring(7)
            // 这里根据你的认证方式调整，比如解析JWT生成Authentication对象
            val authentication = UsernamePasswordAuthenticationToken(token, null)
            
            // 调用AuthenticationManager完成认证
            authenticationManager.authenticate(authentication)
                .flatMap {
                    // 将认证信息绑定到当前上下文
                    SecurityContextHolder.getContext().authentication = it
                    // 处理后续WebSocket消息逻辑
                    session.receive()
                        .doOnNext { message -> /* 自定义消息处理逻辑 */ }
                        .then()
                }
                .onErrorResume {
                    // 认证失败，关闭连接
                    session.close(CloseStatus.UNAUTHORIZED)
                }
        } else {
            // 无有效认证信息，直接关闭连接
            session.close(CloseStatus.UNAUTHORIZED)
        }
    }
}

2. 临时排除WebSocket路径的安全拦截（仅适用于非敏感场景）

如果你的WebSocket连接不需要身份校验，或者是内部服务间的调用，可以在WebFlux Security配置中直接放行WebSocket路径，示例如下：

import org.springframework.context.annotation.Bean
import org.springframework.security.config.web.server.ServerHttpSecurity
import org.springframework.security.web.server.SecurityWebFilterChain

@EnableWebFluxSecurity
class SecurityConfig {

    @Bean
    fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
        return http
            .authorizeExchange()
            .pathMatchers("/your-websocket-path/**").permitAll() // 放行目标WebSocket路径
            .anyExchange().authenticated()
            .and()
            .build()
    }
}

⚠️ 注意：这个方法会完全跳过该路径的Spring Security校验，只适合非敏感的WebSocket场景，生产环境中如果涉及用户敏感数据，不建议使用。

后续官方支持说明 #

Spring Security维护团队已经明确会在5.1.0 M2版本中添加WebFlux WebSocket的安全支持，届时你可以像Servlet环境中那样，通过配置直接将Spring Security的规则应用到WebSocket连接上，无需再手动实现校验逻辑。

内容的提问来源于stack exchange，提问作者Dachstein