Spring Security -- SecurityContextHolder 详解

前言

SecurityContextHolder 按字面意思理解，就是安全上下文支持。在使用了 Spring Security 的 Spring Boot 应用中，我们在后端想要获取登录用户的信息，可以使用命令：

SecurityContextHolder.getContext().getAuthentication().getPrincipal()

源码分析

这里调用了方法.getContext()，打开 SecurityContextHolder 的源码,部分源码如下

public class SecurityContextHolder {
    public static final String MODE_THREADLOCAL = "MODE_THREADLOCAL";
    public static final String MODE_INHERITABLETHREADLOCAL = "MODE_INHERITABLETHREADLOCAL";
    public static final String MODE_GLOBAL = "MODE_GLOBAL";
    public static final String SYSTEM_PROPERTY = "spring.security.strategy";
    private static String strategyName = System.getProperty("spring.security.strategy");
    private static SecurityContextHolderStrategy strategy;
    private static int initializeCount = 0;
    
    ...

    private static void initialize() {
        if (!StringUtils.hasText(strategyName)) {
            strategyName = "MODE_THREADLOCAL";
        }

        if (strategyName.equals("MODE_THREADLOCAL")) {
            strategy = new ThreadLocalSecurityContextHolderStrategy();
    ...

    public static SecurityContext getContext() {
        return strategy.getContext();
    }
    ...

可以看到，方法.getContext()来源于 SecurityContextHolderStrategy ,再打开 SecurityContextHolderStrategy 的源码：

package org.springframework.security.core.context;

public interface SecurityContextHolderStrategy {
    void clearContext();

    SecurityContext getContext();

    void setContext(SecurityContext var1);

    SecurityContext createEmptyContext();
}

可知 SecurityContestHolderStrategy 只是一个接口，这个接口提供创建、清空、获取、设置上下文的操作。

那它有哪些实现类呢，也就是有哪些存储策略呢？按住 Ctrl + H，查看它的实现类，如下图：

可以看出，SecurityContestHolderStrategy 有三个实现类，分别是

ThreadLocalSecurityContextHolderStrategy
GlobalSecurityContextHolderStrategy
InheritableThreadLocalSecurityContextHolderStrategy

就跟字面意思一样三种策略分别对应 threadlocal，global，InheritableThreadLocal 三种方式。

SecurityContextHolder 默认使用的是 ThreadLocalSecurityContextHolderStrategy 安全策略。

也就是说，方法.getContext()在接口SecurityContestHolderStrategy中定义，在类 ThreadLocalSecurityContextHolderStrategy 中实现的。

然后是方法.getAuthentication(), 按 Ctrl + 鼠标左键，打开源码：

public interface SecurityContext extends Serializable {
    Authentication getAuthentication();

    void setAuthentication(Authentication var1);
}

接口 SecurityContext 只有 getAuthentication 和 setAuthentication 这两个方法，而这两个方法都是 Authentication 类型。

由源码可知，所谓的安全上下文，只是保存了 Authentication（认证信息），在 Spring Security 使用一个 Authentication 对象来表示这些用户信息。

打开 Authentication 的源码：

public interface Authentication extends Principal, Serializable {
    Collection<? extends GrantedAuthority> getAuthorities();

    Object getCredentials();

    Object getDetails();

    Object getPrincipal();

    boolean isAuthenticated();

    void setAuthenticated(boolean var1) throws IllegalArgumentException;
}