Spring Boot获取当前登录用户问题：Principal对象返回null

看起来你遇到的问题是在REST控制器里无法通过Principal参数获取已登录用户信息，返回了null。结合你使用的Spring Boot 1.5.13和Spring Security 4.2.6版本，我帮你梳理几个可能的原因和对应的解决方案：

一、先排查端点的权限配置 #

首先检查你的/getCurrentUser端点是否被Spring Security正确保护：

• 你的PUBLIC_MATCHERS数组包含了/user/**，如果控制器类上没有添加@RequestMapping("/user")，那么/getCurrentUser并不在公开路径里，需要认证才能访问。但如果请求时没有携带认证信息，Principal自然会是null。
• 如果你的需求是只有登录用户才能访问/getCurrentUser，请确保这个端点不在PUBLIC_MATCHERS中，或者显式配置它需要认证：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable().cors().disable().httpBasic().and().authorizeRequests()
            .antMatchers(PUBLIC_MATCHERS).permitAll()
            .antMatchers("/getCurrentUser").authenticated() // 显式保护这个端点
            .anyRequest().authenticated();
}

二、确保请求携带正确的认证信息 #

因为你使用的是HttpBasic认证，所以请求必须在Header中携带Authorization信息：

• 格式为Authorization: Basic [base64编码的用户名:密码]，比如你可以用Postman等工具选择Basic Auth类型，输入用户名和密码，工具会自动生成这个请求头。
• 如果请求没有携带这个头，Spring Security会认为是匿名请求，Principal就会是null。

三、换一种方式获取当前用户 #

如果Principal参数注入始终有问题，可以尝试以下两种更可靠的方式：

方式1：使用SecurityContextHolder直接获取认证信息 #

@RequestMapping("/getCurrentUser")
public User getCurrentUser() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    // 判断是否是已认证的用户（排除匿名认证）
    if (authentication == null || 
        !authentication.isAuthenticated() || 
        authentication instanceof AnonymousAuthenticationToken) {
        return new User(); // 返回空用户或者根据业务处理未登录场景
    }
    String username = authentication.getName();
    return userService.findByUsername(username);
}

方式2：注入Authentication对象代替Principal #

@RequestMapping("/getCurrentUser")
public User getCurrentUser(Authentication authentication) {
    if (authentication == null || 
        !authentication.isAuthenticated() || 
        authentication instanceof AnonymousAuthenticationToken) {
        return new User();
    }
    String username = authentication.getName();
    return userService.findByUsername(username);
}

四、检查User实体类的UserDetails实现 #

你的User实体实现了UserDetails接口，但从代码看只定义了部分属性，必须实现接口的所有方法，否则会导致认证流程异常，无法正确生成Principal对象。需要补充以下方法：

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    Collection<GrantedAuthority> authorities = new ArrayList<>();
    // 从userRoles中提取角色权限，这里假设你的Role实体有getName()方法
    userRoles.forEach(ur -> authorities.add(new SimpleGrantedAuthority(ur.getRole().getName())));
    return authorities;
}

@Override
public boolean isAccountNonExpired() {
    return true; // 根据你的业务逻辑调整，这里默认返回true
}

@Override
public boolean isAccountNonLocked() {
    return true;
}

@Override
public boolean isCredentialsNonExpired() {
    return true;
}

// 你的实体已经有enabled属性，实现isEnabled方法
@Override
public boolean isEnabled() {
    return enabled;
}

五、检查会话管理配置 #

你配置了HeaderHttpSessionStrategy，这是用于无会话的REST场景（通过请求头传递会话标识），但结合HttpBasic认证时，可能需要确保会话管理的配置和认证方式兼容。可以先尝试临时移除这个Bean，使用默认的会话管理方式，测试Principal是否能正常注入，排查是否是这个配置导致的问题。

内容的提问来源于stack exchange，提问作者sumit maske