SecurityContextHolder.getContext() 上的身份验证为空；

Question

我正在尝试在 Spring Boot 应用程序中使用 Spring Security 添加 Facebook 授权。目前，我的问题是从 Principal 中提取数据。

这是我的安全配置：

public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure (HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .antMatcher("/**")
            .authorizeRequests()
                .antMatchers("/", "/login**").permitAll()
                .anyRequest().authenticated()
                .and()
            .logout()
                .deleteCookies("JSESSIONID")
                .clearAuthentication(true)
                .logoutSuccessUrl("/").permitAll();
    }

    @Bean
    public PrincipalExtractor facebookPrincipalExtractor(){
        return new FacebookPrincipalExtractor();
    }
}

和主要提取器：

public class FacebookPrincipalExtractor implements PrincipalExtractor {

    @Autowired
    UserService userService;

    @Override
    public Object extractPrincipal(Map<String, Object> map) {
        String name = (String) map.get("name");
        String id = (String) map.get("id");
        User user = userService.findOne(id);
        if (user == null) {
            SecurityContext securityContext = SecurityContextHolder.getContext();
            Authentication authentication = securityContext.getAuthentication();
            String token = ((OAuth2AuthenticationDetails) authentication.getDetails()).getTokenValue();
            user = new User();

            FacebookClient facebookClient = new DefaultFacebookClient(token, Version.VERSION_2_10);

            JSONObject object = facebookClient.fetchObject("me", JSONObject.class);
//           userService.createUser(object);
        }
        return user;
    }
}

登录后，Map<String, Object> map只包含名称和 ID。调用securityContext.getAuthentication()返回null。

此外，如果我创建类似于端点的东西并将其Principal作为参数传递，那么这将起作用。例子：

@RequestMapping("/user")
public Principal user(Principal principal) {
    return principal;
}

在principal将包含所有必要的数据。

对此，2个问题：

1. 为什么安全上下文不包含身份验证？
2. principal如果将它作为参数传递给方法，它来自哪里？

---

这是内部调试的样子

Answer 1

虽然SecurityContextHolder.getContext()是从来没有空它包含一次请求完成清除认证。这意味着如果您尝试在通过 spring 网络安全的过程中访问它，它将在那里。但是一旦请求完成，就会记录以下内容

随着请求处理完成，SecurityContextHolder 现在被清除

并且身份验证设置为空。任何通过 http 请求之外的 SecurityContext 直接访问它的尝试都将导致null。

Answer 2

身份验证认证 = SecurityContextHolder.getContext().getAuthentication(); 身份验证.getPrincipal();

使用嵌套调用获取身份验证对象，然后使用 getPrincipal()；将返回当前登录用户的详细信息