SpringSecurity之SecurityContextHolder使用解读

SpringSecurity之SecurityContextHolder使用解读

SecurityContextHolder

SecurityContextHolder是SpringSecurity提供的一个便捷类，用于在应用程序中存放安全上下文信息。

该类采用了ThreadLocal模式存储安全上下文信息，保证安全上下文信息仅在当前线程中使用。当然，通过暴露对外的API，我们也可以在不同的线程间传递安全上下文信息。

静态方法

SecurityContextHolder提供了一系列静态方法用于获取和设置当前线程中的上下文信息。常用的静态方法有三个：

• getContext()

该方法用于获取当前线程中的SecurityContext实例。通过该实例，我们可以获取到当前用户的认证信息和授权信息等。

• setContext(SecurityContext context)

该方法用于设置当前线程中的SecurityContext实例。一般不推荐使用该方法，因为在多线程的场景下，不同线程之间容易出现上下文冲突的问题。

• createEmptyContext()

该方法用于创建一个空的SecurityContext实例，该实例中不包含任何的认证信息和授权信息。

示例一

在Web应用程序中，每个用户的身份认证信息通常会被存储在Session中，用于实现用户的持久化登录。在一些需要获取当前登录用户的场景下，我们可以使用如下的代码：

Object principal = SecurityContextHolder.getContext().getAuthentication().getPrincipal();
if (principal instanceof UserDetails) {
    String username = ((UserDetails) principal).getUsername();
} else {
    String username = principal.toString();
}

该代码块会通过SecurityContextHolder的静态方法获取当前线程中的SecurityContext实例，然后通过该实例获取Authentication对象，最后从Authentication对象中获取Principal对象，进而获取登录用户名。

示例二

在一些需要手动指定登录用户的场景下，我们可以使用如下的代码：

// 创建认证信息
List<GrantedAuthority> grantedAuthorities = new ArrayList<>();
grantedAuthorities.add(new SimpleGrantedAuthority("ROLE_ADMIN"));
Authentication authentication = new UsernamePasswordAuthenticationToken("username", "password", grantedAuthorities);

// 保存认证信息
SecurityContext securityContext = SecurityContextHolder.createEmptyContext();
securityContext.setAuthentication(authentication);
SecurityContextHolder.setContext(securityContext);

该代码块会手动创建一个认证信息，并将该认证信息保存到线程上下文中。在后续的业务操作中，我们可以通过SecurityContextHolder来获取当前线程中的SecurityContext实例，从而使用保存的认证信息来执行授权操作。

以上是我对"SpringSecurity之SecurityContextHolder使用解读"的详细讲解。