Spring SseEmitter 的 Spring Security Authentication 对象为 null

Question

我有一个 Spring Controller 方法，它调用 SseEmitter 将服务器发送的事件推送到浏览器。在浏览器中，用于为 SSE url 创建 EventSource 的 javascript 从主页运行。主页本身需要使用基于 Spring Security Form 的身份验证完成的身份验证。所以一个登录页面，在认证成功后，将直接指向主页。但是，在服务器发送的事件方法中，认证对象是 null。我了解我不正确的 Spring Security 配置导致此问题，但不知道如何解决！

下面是我使用的安全配置

@Configuration
@EnableWebMvcSecurity
public class UCFSecurityConfig extends WebSecurityConfigurerAdapter{

@Autowired
@Qualifier("epUser")
private UserDetailsService userDetailsService;

@Autowired
private AuthenticationSuccessHandler successHandler;
....
....
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/rest/**").authenticated()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login.htm").failureUrl("/error.htm")
            .loginProcessingUrl("/spring_sec_auth.htm")
            .usernameParameter("username").passwordParameter("password").permitAll()
            .successHandler(successHandler)
            .and()
            .logout()
            //.logoutSuccessUrl("/login.htm?logout")
            .invalidateHttpSession(true)
            .and().csrf().disable();

}
....
....
} 

下面的SSE方法调用userActivityFeed() UserActivityService 使用来自 SecurityContextHolder.getContext().getAuthentication() 的 Authentication 对象，该对象抛出 NPE!!!

@Controller
public class UserActivityController {

@Autowired
private UserActivityService userActivityService;

@RequestMapping("/userActivity")
public ResponseBodyEmitter  activityFeed() {

    final SseEmitter emitter = new SseEmitter();
    ExecutorService service = Executors.newSingleThreadExecutor();
    service.execute(() -> {
       try {
            emitter.send(userActivityService.userActivityFeed() , MediaType.TEXT_PLAIN);
            Thread.sleep(UCFConstants.USR_ACTV_REFRESH_PERIOD);

        } catch (Exception e) {
            e.printStackTrace();
            emitter.completeWithError(e);
            return;
        }
        emitter.complete();
    });
    service.shutdown();
    return emitter;
  }
}

Javascript 创建 SSE EventSource 对象

<script type="text/javascript">
 var source = new EventSource("/MyApp/rest/userActivity");
 source.onmessage = function(event) {
                   document.getElementById("result").innerHTML += event.data                
                   + "<br>";
                   };
  </script>

我的应用程序 web.xml

 <servlet-mapping>
   <servlet-name>MyApp</servlet-name>
   <url-pattern>*.htm</url-pattern>
 </servlet-mapping>
 <servlet-mapping>
   <servlet-name>MyApp</servlet-name>
   <url-pattern>/rest/*</url-pattern>
 </servlet-mapping>

Answer 1

看看SecurityContextHolder.getContext() 的实现。在后台，它使用ThreadLocalSecurityContextHolderStrategy 策略来保存您当前的安全上下文。这意味着当前的安全上下文只能从请求线程获得。而你的 userActivityFeed() 实际上是在单独的线程中执行的，这就是为什么你在调用 SecurityContextHolder.getContext().getAuthentication() 时会得到 NPE。

要完成所有这些工作，您可以在控制器方法中更早地获取当前用户并将其传递给userActivityFeed()。