如何通过编程判断Tomcat是否已认证请求？Spring场景替代方案

好问题！在Spring Security和Tomcat容器认证共存的场景下，getUserPrincipal()确实会因为Spring的身份覆盖而失效，我来分享几个亲测有用的编程方式：

方法1：检查Tomcat的Realm配置 #

Tomcat的容器认证核心依赖于Realm组件，默认情况下如果没有配置认证，会使用NullRealm。我们可以通过ServletContext获取Tomcat的上下文实例，进而判断Realm的类型：

import org.apache.catalina.Context;
import org.apache.catalina.realm.RealmBase;
import javax.servlet.ServletContext;
import javax.servlet.http.HttpServletRequest;

public boolean isTomcatAuthEnabled(HttpServletRequest request) {
    ServletContext servletContext = request.getServletContext();
    // 获取Tomcat原生的Context对象（由Tomcat存入ServletContext属性）
    Context tomcatContext = (Context) servletContext.getAttribute("org.apache.catalina.core.ApplicationContext.CONTEXT");
    
    if (tomcatContext == null) {
        return false;
    }
    
    // 若Realm存在且不是NullRealm，说明启用了Tomcat容器认证
    return tomcatContext.getRealm() != null && !(tomcatContext.getRealm() instanceof RealmBase.NullRealm);
}

注意：需要引入Tomcat的catalina依赖（Maven中设置scope=provided即可，因为运行时Tomcat会自带）。

方法2：识别请求的原生认证类型 #

Spring Security会包装HttpServletRequest，覆盖getAuthType()返回spring_security，而Tomcat原生的认证类型通常是BASIC/DIGEST/FORM/CLIENT_CERT。我们可以先剥掉Spring的请求包装，再判断认证类型：

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;

public boolean isTomcatAuthenticated(HttpServletRequest request) {
    // 逐层剥离请求包装，拿到Tomcat原生的Request对象
    while (request instanceof HttpServletRequestWrapper) {
        request = (HttpServletRequest) ((HttpServletRequestWrapper) request).getRequest();
    }
    
    String authType = request.getAuthType();
    // 判断是否为Tomcat原生的认证类型
    return authType != null && 
           (authType.equals("BASIC") || authType.equals("DIGEST") || 
            authType.equals("FORM") || authType.equals("CLIENT_CERT"));
}

这个方法可以直接判断当前请求是否通过Tomcat完成了认证，适合需要实时验证的场景。

方法3：检查web.xml的登录配置 #

如果你的Tomcat认证是通过web.xml中的<login-config>配置的，可以直接通过ServletContext获取该配置：

import javax.servlet.ServletContext;
import javax.servlet.http.HttpServletRequest;

public boolean hasTomcatLoginConfig(HttpServletRequest request) {
    ServletContext servletContext = request.getServletContext();
    // 若存在login-config，说明启用了容器级别的认证配置
    return servletContext.getLoginConfig() != null;
}

局限性：如果是Tomcat全局配置的Realm（而非web.xml局部配置），这个方法会返回false，建议和方法1结合使用。

内容的提问来源于stack exchange，提问作者user1289