Spring中@RequestMapping内@SessionAttribute调用问题及认证存储咨询

我来帮你梳理和解决这个问题。从你给出的代码片段来看，你想用@ControllerAdvice+@SessionAttributes的方式把Spring Security认证后的用户对象存入会话，然后在@RequestMapping方法里调用，但可能是几个细节没处理到位导致出问题。

先排查你的@ModelAttribute初始化逻辑 #

首先看你在SessionScope类里的@ModelAttribute("User")方法，这里有几个需要注意的点：

1. 排除匿名认证的情况：未登录时SecurityContext里的Authentication是AnonymousAuthenticationToken，它的getPrincipal()返回的是字符串"anonymousUser"，直接强转User会抛出类型转换异常。所以要加上判断：

   @ModelAttribute("User")
   public User session() {
       Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
       if (authentication != null && !(authentication instanceof AnonymousAuthenticationToken)) {
           // 这里假设你的User实现了UserDetails，认证后Principal就是User对象
           return (User) authentication.getPrincipal();
       }
       return new User(); // 或者返回null，建议返回空对象避免后续NullPointerException
   }
   

2. 确认@ControllerAdvice的作用范围：你的@ControllerAdvice指定了basePackages={"com.sencerseven.blog.admin","com.sencerseven.blog.controller"}，要确保你需要调用@SessionAttribute的@Controller都在这两个包下面，否则这个Advice不会生效，会话里也就不会有User属性。

在@RequestMapping方法里正确获取@SessionAttribute的方式 #

当会话里已经正确存入User属性后，有几种可靠的获取方式：

• 直接通过方法参数注入（最推荐）：

  @RequestMapping("/admin/dashboard")
  public String showDashboard(@SessionAttribute("User") User currentUser, Model model) {
      // 直接使用currentUser做业务逻辑
      model.addAttribute("user", currentUser);
      return "dashboard";
  }
  

  如果担心未登录时User不存在，可以设置required=false：

  @SessionAttribute(name = "User", required = false) User currentUser
  

• 通过Model获取：

  @RequestMapping("/profile")
  public String showProfile(Model model) {
      User currentUser = (User) model.getAttribute("User");
      if (currentUser != null) {
          // 业务逻辑
      }
      return "profile";
  }
  

额外注意：会话属性的清理 #

当用户登出时，记得清理会话中的User属性，避免残留旧数据。可以在登出方法里调用SessionStatus.setComplete()：

@RequestMapping("/logout")
public String logout(SessionStatus sessionStatus) {
    sessionStatus.setComplete(); // 清理@SessionAttributes标注的属性
    SecurityContextHolder.clearContext(); // 清空Security上下文
    return "redirect:/login";
}

更简洁的替代方案：直接获取认证用户 #

其实不用维护@SessionAttribute，Spring Security提供了更直接的方式获取当前用户：

• 注入Authentication对象：

  @RequestMapping("/admin/posts")
  public String listPosts(Authentication authentication) {
      User currentUser = (User) authentication.getPrincipal();
      // 使用currentUser
      return "posts-list";
  }
  

• 使用@AuthenticationPrincipal注解：
  如果你自定义了UserDetails实现类，可以直接注入：

  @RequestMapping("/profile/edit")
  public String editProfile(@AuthenticationPrincipal User currentUser) {
      // 使用currentUser
      return "profile-edit";
  }
  

  这种方式不需要手动维护会话属性，更符合Spring Security的最佳实践，也能避免会话属性相关的问题。

内容的提问来源于stack exchange，提问作者Sencer Seven