我要评论springsecurity context 获取和更改用户信息的问题
securitycontext 异步线程中获取用户信息
今天在做项目时遇到了一个问题，我需要获取当前用户的 id。之前，前端并没有存储用户信息，我一直是在后端的 service 中通过 securitycontext 来获取用户信息，这个方法之前一直有效。然而，今天在另一个 service 中调用时却无法获取到用户信息。
经过详细排查，发现 securitycontext 的内容是与请求线程（如 http 请求）绑定的。但我当前的 service 是用于处理 mqtt 消息，这属于异步线程。因此，在异步线程中无法从 securitycontext 获取用户信息，只能另寻解决方案。
/**
* 处理接收到的设备数据，根据数据类型进行不同的处理。energy数据存储到数据库，其他数据通过websocket发送到前端展示。
* @param data 数据内容
*/
private void handleincomingdata(string data) {
......
/*
* 通过设备id找到用户id, 不能通过securitycontext获取当前用户id，因为这里是异步处理消息，不在请求线程中。
* 通过securitycontext获取当前用户id的方法只能在请求线程中使用，通常是与http请求相关的操作才能获取到。
* 这里是mqtt消息处理，不在请求线程中，所以要通过其他方式获取当前用户id。
* 还因为这里是存入数据库，因为也不能依赖物理设备的用户id，设备不一定是存用户id, 降低耦合性。
todo: 这里是否可以改进？
*/
long userid = devicemapper.finddevicebyid(deviceid).getuserid();
if (userid<=0) {//如果userid<=0，说明没有找到对应的设备
logger.error("failed to get user id by device id: {}", deviceid);
throw new runtimeexception("failed to get user id by device id: " + deviceid);
}
energy energy = new energy();
energy.setdeviceid(deviceid);
energy.setenergy(totalenergy);
energy.setrecorddate(recorddate);
energy.setuserid(userid);
......
}securitycontext 线程降级问题
在项目中遇到 securitycontext 线程降级的问题，具体场景是用户修改个人资料（如邮箱）后，我希望 securitycontext 中的用户信息能及时更新。然而，在修改邮箱后，用户需要跳转到邮箱验证码验证页面，该页面通过 security 配置中的 permitall() 允许匿名访问。
这个配置导致一个问题：虽然用户已经登录认证，但在访问 /verify-code 页面时，securitycontext 中的身份会被降级为匿名用户，进而导致更新后的信息没有在 securitycontext 中及时反映。
我了解到可以通过 setauthentication() 手动更新 securitycontext，但尝试后依然无法解决问题，更新后的用户信息仍旧无法及时同步到 securitycontext 中～
@bean
public securityfilterchain filterchain(httpsecurity http) throws exception {
http
.csrf(abstracthttpconfigurer::disable) // disable csrf
.authorizehttprequests(authorize -> authorize
.requestmatchers("/login","/register","/verify-code","/forgot-password","/change-password").permitall()// permit request without authentication
.requestmatchers("/ws/**").permitall()// permit websocket request without authentication
.anyrequest().authenticated()
)
.addfilterbefore(jwtrequestfilter, usernamepasswordauthenticationfilter.class)
.logout(abstracthttpconfigurer::disable);// disable logout otherwise it will conflict with our custom logout
return http.build();
}到此这篇关于springsecurity context 中 获取 和 更改 当前用户信息的问题的文章就介绍到这了,更多相关springsecurity context 获取当前用户信息内容请搜索代码网以前的文章或继续浏览下面的相关文章希望大家以后多多支持代码网！
发表评论