SecurityContext хранится в ThreadLocal потока запроса и в асинхронный поток сам не переезжает. Решение — DelegatingSecurityContextAsyncTaskExecutor (или TaskDecorator), который копирует контекст.
А ещё Context Propagation (Micrometer) переносит контекст автоматически
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Стратегия хранения по умолчанию — MODE_THREADLOCAL, поэтому любой переход в другой поток теряет контекст: это касается @Async, задач в собственном пуле и реактивных цепочек. Варианты решения: включить MODE_INHERITABLETHREADLOCAL, что работает для потоков, созданных напрямую, но бесполезно для пула, где потоки существовали заранее; либо, что правильнее, обернуть исполнитель в DelegatingSecurityContextExecutor или DelegatingSecurityContextAsyncTaskExecutor, который явно переносит контекст в задачу. В WebFlux механизм другой — контекст живёт в Reactor Context, а не в ThreadLocal. И совсем простой вариант: передать нужные данные о пользователе параметрами метода, не полагаясь на неявное состояние.
Один верный вариант. Подумайте, потом откройте ответ.
SecurityFilterChain, аутентификация (UserDetailsService/PasswordEncoder), SecurityContext, авторизация запросов и CSRF/CORS/сессии.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto