Spring Security并发环境下获取Principal异常问题排查

我之前也碰到过类似的并发场景下Principal串数据的问题，结合你的配置和代码，咱们一步步来排查和解决：

一、先定位问题源头 #

首先要搞清楚是AuthServer返回了错误的Principal，还是ResourceServer在处理响应时出了问题：

1. 在AuthServer的/user端点加日志验证 #

修改你的UserController，打印当前线程ID和Principal信息，直观确认每个请求对应的用户是否正确：

@RestController
@RequestMapping("/")
public class UserController {
    @GetMapping(value = "/user")
    public Principal getUser(Principal user) {
        String logMsg = String.format("AuthServer Thread ID: %s, Principal Name: %s", 
                                     Thread.currentThread().getId(), user.getName());
        System.out.println(logMsg); // 也可以用SLF4J等日志框架输出
        return user;
    }
}

做并发测试时，如果这里输出的Principal和请求的用户不匹配，说明AuthServer的Security上下文管理有线程安全问题；如果输出正确，那问题就出在ResourceServer端。

2. 在ResourceServer端加日志验证 #

在ResourceServer的业务接口里，打印请求的token和对应的Principal信息，确认token与用户的对应关系：

@GetMapping("/your-resource-path")
public String getResource(Principal principal) {
    OAuth2Authentication auth = (OAuth2Authentication) principal;
    String token = auth.getOAuth2Request().getRequestParameters().get("access_token");
    String logMsg = String.format("ResourceServer Thread ID: %s, Token: %s, Principal Name: %s",
                                 Thread.currentThread().getId(), token, principal.getName());
    System.out.println(logMsg);
    return "your resource content";
}

如果token正确但Principal不对，说明ResourceServer在处理用户信息转换或上下文传递时出了问题。

二、常见问题排查与解决 #

1. AuthServer端的线程安全问题 #

Spring Security默认用ThreadLocal存储SecurityContext，每个请求的线程都有独立的上下文，但以下情况可能导致数据串用：

• 自定义了SecurityContextRepository或过滤器，没有正确清理线程的上下文；
• 使用了自定义线程池，线程复用前没有清空SecurityContext。

解决办法：

• 尽量使用Spring Security默认的过滤器链，不要手动修改ThreadLocal内容；
• 如果必须用自定义线程池，在任务执行前后手动清理SecurityContext：

  executor.execute(() -> {
      try {
          // 业务逻辑
      } finally {
          SecurityContextHolder.clearContext();
      }
  });
  

2. ResourceServer端的异步/线程池问题 #

如果ResourceServer使用了异步方法或自定义线程池，ThreadLocal存储的SecurityContext不会自动传递到异步线程，导致获取到错误的Principal。

解决办法：

• 设置SecurityContextHolder的策略为可继承线程本地：
  在启动类或配置类中添加：

  static {
      SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);
  }
  

• 或者在异步方法中手动传递上下文：

  SecurityContext context = SecurityContextHolder.getContext();
  CompletableFuture.runAsync(() -> {
      SecurityContextHolder.setContext(context);
      try {
          // 异步业务逻辑
      } finally {
          SecurityContextHolder.clearContext();
      }
  });
  

3. UserInfoTokenServices的线程安全问题 #

默认的UserInfoTokenServices没有缓存，但如果你自定义了缓存逻辑，或者在转换用户信息时使用了线程不安全的Bean，就可能导致并发下数据串用。

解决办法：

• 检查自定义的用户信息转换逻辑，确保是线程安全的；
• 如果不需要缓存，确保禁用任何针对用户信息的缓存配置。

4. 改用JWT令牌（可选优化） #

如果你的场景允许，建议改用JWT令牌：AuthServer签发包含用户信息的JWT，ResourceServer本地解析令牌获取用户信息，不需要每次调用/user端点，既减少了网络开销，也从根本上避免了并发调用带来的上下文问题。

内容的提问来源于stack exchange，提问作者kunpengku