WebFlux Security Context问题：Authentication在AuthorizationManager中缺失用户详情#5225

我之前在做WebFlux Security项目时也碰到过一模一样的问题，折腾了好一阵才找到根源。这个问题通常和Authentication对象的传递、存储或者配置环节的疏漏有关，下面是我总结的排查和解决思路：

1. 自定义UserDetails未正确序列化 #

原因 #

WebFlux Security默认会把Authentication对象存储在会话中，如果你的自定义UserDetails没有实现Serializable接口，或者自定义字段没有被正确序列化，那么在后续的Authorization环节中，Authentication里的用户详情就会丢失。

解决方案 #

确保你的自定义UserDetails类实现Serializable接口，并且所有需要保留的自定义字段都能被正常序列化：

public class CustomUserDetails implements UserDetails, Serializable {
    private static final long serialVersionUID = 1L;
    
    // 自定义字段示例
    private Long userId;
    private Set<String> userPermissions;

    // 实现UserDetails要求的所有方法（getAuthorities、isAccountNonExpired等）
    // 加上自定义字段的构造方法、getter/setter
}

2. SecurityContext传播或AuthorizationManager实现问题 #

原因 #

在Reactive环境中，SecurityContext是通过ReactiveSecurityContextHolder在流中传播的，如果你的自定义AuthorizationManager没有正确从这个Holder中获取Authentication，或者获取方式有误，就可能拿到不完整的对象。

解决方案 #

检查你的自定义ReactiveAuthorizationManager实现，确保是从正确的Mono流中获取用户信息：

@Component
public class CustomAuthorizationManager implements ReactiveAuthorizationManager<AuthorizationContext> {
    @Override
    public Mono<AuthorizationDecision> check(Mono<Authentication> authentication, AuthorizationContext context) {
        return authentication
                .filter(auth -> auth.isAuthenticated())
                .flatMap(auth -> {
                    // 这里应该能强转成你的自定义UserDetails
                    CustomUserDetails userDetails = (CustomUserDetails) auth.getPrincipal();
                    // 编写你的授权逻辑，比如判断用户是否有对应权限
                    boolean hasPermission = userDetails.getUserPermissions().contains("required_permission");
                    return Mono.just(new AuthorizationDecision(hasPermission));
                })
                .defaultIfEmpty(new AuthorizationDecision(false));
    }
}

同时，在SecurityWebFilterChain配置中，要确保AuthenticationManager是基于你的ReactiveUserDetailsService构建的：

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http, 
                                                    ReactiveUserDetailsService userDetailsService,
                                                    CustomAuthorizationManager authorizationManager) {
    return http
            .authorizeExchange(exchanges -> exchanges
                    .anyExchange().access(authorizationManager)
            )
            // 明确使用自定义的ReactiveUserDetailsService构建认证管理器
            .authenticationManager(new UserDetailsRepositoryReactiveAuthenticationManager(userDetailsService))
            .build();
}

3. 认证流程中Authentication被意外替换 #

原因 #

如果你的认证流程中存在自定义过滤器或者后置处理逻辑，可能在认证成功后替换了Authentication对象，导致原来包含完整用户详情的实例被覆盖。

解决方案 #

排查认证流程中的所有自定义组件，比如自定义认证过滤器、AuthenticationSuccessHandler等，确保在认证完成后返回的Authentication对象仍然包含你的CustomUserDetails实例，没有被替换成其他精简版本的Authentication。

额外提示：令牌认证场景的特殊情况 #

如果你的项目使用JWT或其他令牌认证，要确保令牌生成时包含了所有需要的自定义用户字段，并且在令牌解析环节（比如JwtAuthenticationConverter）将这些字段填充到CustomUserDetails中，否则AuthorizationManager自然拿不到完整的用户信息。

内容的提问来源于stack exchange，提问作者Sathesh