我从 SecurityContextHolder 检索到的 Userprincipal 是否绑定到请求或会话？
UserPrincipal principal = (UserPrincipal) SecurityContextHolder.getContext().getAuthentication().getPrincipal();
这是我访问当前登录用户的方式。如果当前会话被销毁，这是否会失效？
【问题讨论】：
标签： java spring jakarta-ee spring-security
这取决于您如何配置它（或者说，您可以配置不同的行为）。
在 Web 应用程序中，您将使用与 SecurityContextPersistenceFilter 交互的 ThreadLocalSecurityContextHolderStrategy。
SecurityContextPersistenceFilter 的 Java Doc 开头为：
填充 {@link SecurityContextHolder} 与 从获得的信息 已配置 {@link SecurityContextRepository} 之前 请求并将其存储回 一旦请求有存储库 完成并清除上下文 持有者。默认情况下，它使用 {@link HttpSessionSecurityContextRepository}。 有关信息，请参阅本课程 HttpSession相关 配置选项。
顺便说一句：HttpSessionSecurityContextRepository 是 SecurityContextRepository 的唯一实现（我在默认库中找到了）
它是这样工作的：
HttpSessionSecurityContextRepository 使用 httpSession (Key="SPRING_SECURITY_CONTEXT") 来存储 SecurityContext 对象。SecurityContextPersistenceFilter 是一个过滤器，它使用SecurityContextRepository 例如HttpSessionSecurityContextRepository 来加载和存储SecurityContext 对象。如果 HttpRequest 通过过滤器，过滤器从存储库中获取SecurityContext 并将其放入 SecurityContextHolder (SecurityContextHolder#setContext) SecurityContextHolder 有两个方法setContext 和getContext。两者都使用SecurityContextHolderStrategy 来指定在 set- 和 get-Context 方法中究竟做了什么。 - 例如ThreadLocalSecurityContextHolderStrategy 使用本地线程来存储上下文。总而言之：用户主体（SecurityContext 的元素）存储在 HTTP 会话中。对于每个请求，它都被放入一个本地线程中，您可以从那里访问它。
【讨论】：