安全认证之SecurityContextHolder

原创

已于 2022-05-02 08:57:47 修改 · 3.2w 阅读

标签

#spring security

收录于

于 2020-11-28 21:19:33 首次发布

本文深入介绍了Spring Security的核心组件SecurityContextHolder的使用方法，包括其不同工作模式及其如何在多用户环境中存储安全上下文，还提供了使用JWT实现登录功能的实际代码示例。

简介
1) SecurityContextHolder是SpringSecurity最基本的组件了，是用来存放SecurityContext的对象，默认是使用ThreadLocal实现的，这样就保证了本线程内所有的方法都可以获得SecurityContext对象。
2) SecurityContextHolder还有其他两种模式，分别为SecurityContextHolder.MODE_GLOBAL和SecurityContextHolder.MODE_INHERITABLETHREADLOCAL，前者表示SecurityContextHolder对象
的全局的，应用中所有线程都可以访问；后者用于线程有父子关系的情境中，线程希望自己的子线程和自己有相同的安全性。
3)大部分情况下我们不需要修改默认的配置，ThreadLocal是最常用也是最合适大部分应用的。
使用SecurityContextHolder获取当前登录的用户信息
在SecurityContextHolder中保存的是当前访问者的信息。Spring Security使用一个Authentication对象来表示这个信息。一般情况下，我们都不需要创建这个对象，在登录过程中，Spring Security已经创建了该对象并帮我们放到了SecurityContextHolder中。从SecurityContextHolder中获取这个对象也是很简单的。比如，获取当前登录用户的用户名，可以这样 :
```
// 获取安全上下文对象，就是那个保存在 ThreadLocal 里面的安全上下文对象
// 总是不为null(如果不存在，则创建一个authentication属性为null的empty安全上下文对象)
SecurityContext securityContext = SecurityContextHolder.getConte
```