异步弹簧安全 WebFilter

Question

如何使用 SecurityContextHolder 摆脱 WebFilter 中的阻塞。我尝试将 auth 设置放在 Mono 的 doOnSuccess(...) 和 thenEmpty(...) 中，但从未调用过。

@Override
public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
    HttpHeaders headers = exchange.getRequest().getHeaders();
    long internalId = Long.parseLong(headers.get(INTERNAL_ID_HEADER).get(0));
    String email = headers.get(EMAIL_HEADER).get(0);

    Mono<User> userMono = Mono.just(internalId)
            .flatMap(userRepository::findById)
            .switchIfEmpty(userRepository.save(new User().setId(internalId)
                            .setFirstName(getFirstName(email))
                            .setLastName(getLastName(email))
                            .setEmail(email)
                    )
            );

    SecurityContextHolder.getContext().setAuthentication(userMono.block());

    return chain.filter(exchange);
}

Answer 1

您似乎正在尝试使用 Spring Security 的阻塞基础设施。 如果我没记错的话，SecurityContextHolder 是基于ThreadLocal 的；该方法不适用于给定请求不在单个线程上处理的反应式环境。

您可能想看看upcoming WebFlux support in Spring Security。