如何在Spring MVC与WebFlux混合应用中使用Spring Security？

当前方案的隐藏问题 #

• 线程安全风险：SecurityContextHolder默认依赖ThreadLocal存储上下文，但WebFlux是异步非阻塞模型，doOnComplete的执行线程可能和原请求线程不一致，甚至线程会被复用。手动设置的ThreadLocal上下文可能泄露到其他请求，导致权限校验混乱。
• 上下文管理不严谨：虽然用了doFinally清理，但在复杂的异步场景下（比如多个订阅、异常嵌套），仍存在上下文未被正确清理的可能，引发难以排查的权限问题。

正确的实现方式 #

在WebFlux方法中，应该使用Spring Security提供的响应式安全上下文管理工具ReactiveSecurityContextHolder，而非传统的SecurityContextHolder。通过contextWrite方法将Authentication注入到响应式流的上下文中，确保后续操作能安全获取到正确的安全上下文，且完全适配WebFlux的异步模型。

示例代码：

@GetMapping("...")
fun getFlux(auth: Authentication): Flux<String> {
    val securityContext = SecurityContextHolder.createEmptyContext().apply {
        authentication = auth
    }
    val reactiveContext = ReactiveSecurityContextHolder.withSecurityContext(Mono.just(securityContext))
    
    return service.getFlux()
        .contextWrite(reactiveContext)
        .doOnComplete {
            repository.save(....) // 此时能正确获取到安全上下文
        }
}

额外说明 #

• 不需要手动清理上下文：响应式上下文会随着流的终止自动销毁，避免了手动清理的风险。
• 适配WebFlux模型：这种方式完全遵循WebFlux的异步非阻塞设计，不会出现线程安全问题。

内容的提问来源于stack exchange，提问作者Alessandro Scarozza