Spring Security 中的主体（Principal）

在 Spring Security 中，Principal 表示用户的标识，可以是用户名、用户对象或其他任何形式的用户识别信息。它是进行授权决策和根据已认证用户的信息定制用户交互的关键引用。

Principal 概述

Principal 在 Spring Security 中表示当前登录用户的标识，通常是一个实现了 AuthenticatedPrincipal 接口的对象。该接口包含一个 getName() 方法，用于返回已认证用户的名称。

当用户通过身份验证后，应用程序会将一个 Principal 对象与该用户关联，并将其保存以记住用户的身份。因此，用户在后续请求中无需再次登录。

Principal 的关键点

表示：Principal 代表已认证用户的身份，便于访问特定于用户的数据。
安全上下文：Spring Security 将 Principal 存储在 SecurityContextHolder 中，使其在应用的不同层中均可访问。

使用 Principal 的实用示例

示例 1：在控制器中访问 Principal

一个常见的用例是在控制器中检索用户详情，以个性化用户体验或执行安全检查。

@RestController
public class UserController {@GetMapping("/user/profile")public ResponseEntity<String> userProfile(Principal principal) {return ResponseEntity.ok("Accessed by: " + principal.getName());}
}

在这个示例中，Principal 直接注入控制器方法，方便地获取已认证用户的用户名。

示例 2：使用 Principal 定制方法安全

Spring Security 的方法安全注解可以利用 Principal 实现细粒度的访问控制。

@PreAuthorize("#username == principal.username")
public void updateUser(String username, UserUpdateDto updateDto) {// 更新用户逻辑
}

这里，@PreAuthorize 使用 SpEL 确保已认证用户只能更新自己的信息，展示了基于 Principal 的动态授权。

示例 3：在服务层访问 Principal

您可能还需要在服务层访问已认证用户的详情，例如进行审计或应用业务逻辑。

@Service
public class TaskService {public void assignTaskToCurrentUser(String taskId) {Authentication authentication = SecurityContextHolder.getContext().getAuthentication();String currentUsername = authentication.getName();// 根据 currentUsername 分配任务给用户}
}