问题背景
最近看到群里面有人提问：我想要在DAO层保存数据时，获取到当前登录用户，但是我又不想去做token换用户信息之内的操作，该怎么办？然后他又理了下自己的需求，得出的结果：怎么在非request环境获取到用户信息？
基于这个问题我思考了下我们项目是怎么做的，我们项目用的是security，在每次需要用户信息的时候调用SecurityContextHolder.getContext()方法获取到SecurityContext对象，再从中拿到Authentication对象，最终拿到用户信息的；问题来了，我们调用getContext()方法时，没有任何入参，他是怎么知道我们当前用户是张三，而不是李四，不会拿错用户信息的呢？
探索过程
看这个问题之前，得先了解security和对应的Authentication等基础知识，不过不了解也没关系，我们最终的目的是分析threalocal这个东西，不了解security也能看懂本文
既然获取用户信息是调用这个方法开始，那我们SecurityContextHolder.getContext()开始入手;
org.springframework.security.core.context.SecurityContextHolder#getContext()
//该方法返回一个SecurityContext 对象
public static SecurityContext getContext() {
//strategy，这个单词很重要，又到了学习知识的时候了，音标 [ˈstrætədʒi]，策略的意思，该接口SecurityContextHolderStrategy有三个实现类，我们依次看下
return strategy.getContext();
}
//可以看到SecurityContext 是一个接口，主要包含设置和获取Authentication 对象，Authentication 是security封装用户认证鉴权信息的一个包装类
public interface SecurityContext extends Serializable {
// ~ Methods
// ========================================================================================================
/**
* Obtains the currently authenticated principal, or an authentication request token.
*
* @return the <code>Authentication</code> or <code>null</code> if no authentication
* information is available
*/
Authentication getAuthentication();
/**
* Changes the currently authenticated principal, or removes the authentication
* information.
*
* @param authentication the new <code>Authentication</code> token, or
* <code>null</code> if no further authentication information should be stored
*/
void setAuthentication(Authentication authentication);
}
image.png
通过该类的注释可以看到，A strategy for storing security context information against a thread.（针对线程存储安全上下文信息的策略），说明用户信息和线程相关的，我们点开第三个ThreadLocalSecurityContextHolderStrategy看看
org.springframework.security.core.context.ThreadLocalSecurityContextHolderStrategy
//该类的类名注释：A ThreadLocal-based implementation of SecurityContextHolderStrategy.这个太简单了就不翻译了，从这儿可以看出当前用户信息和当前请求线程是绑定到ThreadLocal里面的
final class ThreadLocalSecurityContextHolderStrategy implements
SecurityContextHolderStrategy {
// ~ Static fields/initializers
// =====================================================================================
//正儿八经的ThreadLocal
private static final ThreadLocal<SecurityContext> contextHolder = new ThreadLocal<>();
// ~ Methods
// ========================================================================================================
//移除用户信息
public void clearContext() {
contextHolder.remove();
}
//获取用户信息
public SecurityContext getContext() {
SecurityContext ctx = contextHolder.get();
if (ctx == null) {
ctx = createEmptyContext();
contextHolder.set(ctx);
}
return ctx;
}
//保存用户信息
public void setContext(SecurityContext context) {
Assert.notNull(context, "Only non-null SecurityContext instances are permitted");
contextHolder.set(context);
}
从以上代码可以得出结论，security通过对象的封装将用户认证鉴权信息放到了SecurityContext ，然后再将SecurityContext 存入ThreadLocal中，并将提供一个SecurityContextHolder的静态工具类来获取SecurityContext ；
到此我们就知道了Security是怎么保存用户信息和获取用户信息的
我们顺便看看SecurityContextHolderStrategy 其它两个实现，代码如下
org.springframework.security.core.context.InheritableThreadLocalSecurityContextHolderStrategy
//和ThreadLocalSecurityContextHolderStrategy 一致，也是基于ThreadLocal来实现存储
final class InheritableThreadLocalSecurityContextHolderStrategy implements
SecurityContextHolderStrategy {
// ~ Static fields/initializers
// =====================================================================================
private static final ThreadLocal<SecurityContext> contextHolder = new InheritableThreadLocal<>();
// ~ Methods
// ========================================================================================================
public void clearContext() {
contextHolder.remove();
}
public SecurityContext getContext() {
SecurityContext ctx = contextHolder.get();
if (ctx == null) {
ctx = createEmptyContext();
contextHolder.set(ctx);
}
return ctx;
}
public void setContext(SecurityContext context) {
Assert.notNull(context, "Only non-null SecurityContext instances are permitted");
contextHolder.set(context);
}
org.springframework.security.core.context.GlobalSecurityContextHolderStrategy
//该策略的实现用的是一个静态SecurityContext 存储，没用ThreadLocal，在多线程环境下会发生安全问题，导致值被覆盖，通过该类的注释也可以看出[This means that all instances in the JVM share the same SecurityContext. This is generally useful with rich clients, such as Swing.] (这意味着JVM中的所有实例共享相同的SecurityContext。这对于Swing这样的富客户端通常很有用。)
final class GlobalSecurityContextHolderStrategy implements SecurityContextHolderStrategy {
// ~ Static fields/initializers
// =====================================================================================
private static SecurityContext contextHolder;
// ~ Methods
// ========================================================================================================
public void clearContext() {
contextHolder = null;
}
public SecurityContext getContext() {
if (contextHolder == null) {
contextHolder = new SecurityContextImpl();
}
return contextHolder;
}
public void setContext(SecurityContext context) {
Assert.notNull(context, "Only non-null SecurityContext instances are permitted");
contextHolder = context;
}
到此本文就完成了一半了，接下来我们可以再看看ThreadLocal，他到底是怎么玩的，看结构和是个map，看看他和我们熟知的hashMap有啥不一样：从获取当前用户到Security再到ThreadLocal（二）
