如何设置 Spring Security SecurityContextHolder 策略？

Question

我在我的服务中使用异步方法（Spring 3 @Async 注释）。而且我遇到了一个问题 - 生成的线程没有安全上下文。原因是 Spring Security 默认使用 SecurityContextHolder.MODE_THREADLOCAL 策略作为其上下文持有者。但我需要使用SecurityContextHolder.MODE_INHERITABLETHREADLOCAL 策略。 目前我在 AuthenticationSuccessHandler 中设置了策略。但在我看来，这不是一个好习惯。

那么如何在上下文配置文件中进行设置呢？
Spring Security 的版本是 3.0.0。

Answer 1

通过没有反射的 Java 配置。

import javax.annotation.PostConstruct;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.core.context.SecurityContextHolder;

@Configuration
public class SecurityConfig {

  @PostConstruct
  public void enableAuthCtxOnSpawnedThreads() {
    SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);
  }
}

Answer 2

另一种解决方案，例如@viator write：

<bean
        class="org.springframework.beans.factory.config.MethodInvokingFactoryBean">
        <property name="targetClass"
            value="org.springframework.security.core.context.SecurityContextHolder" />
        <property name="targetMethod" value="setStrategyName" />
        <property name="arguments" value="MODE_INHERITABLETHREADLOCAL" />
    </bean>

像魅力一样工作。

Answer 3

您可以将环境变量spring.security.strategy 设置为MODE_INHERITABLETHREADLOCAL。您还可以有一个简单的 bean，在您的 Web 应用程序启动期间调用 SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL) 并在您的上下文配置文件中初始化该值。

SecurityContextHolder API

Answer 4

@viator 的答案的 java 配置如果对你有帮助的话。

@Bean
public MethodInvokingFactoryBean methodInvokingFactoryBean() {
    MethodInvokingFactoryBean methodInvokingFactoryBean = new MethodInvokingFactoryBean();
    methodInvokingFactoryBean.setTargetClass(SecurityContextHolder.class);
    methodInvokingFactoryBean.setTargetMethod("setStrategyName");
    methodInvokingFactoryBean.setArguments(new String[]{SecurityContextHolder.MODE_INHERITABLETHREADLOCAL});
    return methodInvokingFactoryBean;
}