核心难点是跨线程自动传递且不污染泄漏；Spring Security需设MODE_INHERITABLETHREADLOCAL并配TaskDecorator清理上下文；Shiro需手动提取凭证传参重建；统一推荐TransmittableThreadLocal兜底。
在自定义线程池中传递 Shiro 或 Spring Security 的权限上下文，核心难点不是“存”，而是“跨线程自动带过去且不污染、不泄漏”。因为 SecurityContext（Spring）或 SecurityUtils（Shiro）默认都依赖 ThreadLocal，而线程池复用线程导致子线程拿不到父线程的认证信息。
Spring Security：用 TaskDecorator + MODE_INHERITABLETHREADLOCAL
Spring Security 提供了开箱即用的支持，但需两步配合：
- 设置全局策略为 MODE_INHERITABLETHREADLOCAL（非默认），让 SecurityContext 可被子线程继承
- 在线程池初始化时配置 TaskDecorator，确保每次任务执行前恢复上下文，并在结束后清理
代码示例：
SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);
@Bean
public ThreadPoolTaskExecutor taskExecutor() {
ThreadPoolTaskExecutor executor = new ThreadPoolTaskExecutor();
executor.setCorePoolSize(4);
executor.setThreadNamePrefix("async-");
executor.setTaskDecorator(runnable -> {
// 捕获当前线程的 SecurityContext
SecurityContext context = SecurityContextHolder.getContext();
return () -> {
try {
// 设置到子线程
SecurityContextHolder.setContext(context);
runnable.run();
} finally {
// 必须清理，避免内存泄漏和上下文串扰
SecurityContextHolder.resetContext();
}
};
});
executor.initialize();
return executor;
}
Shiro：手动封装 SecurityUtils + 自定义 ThreadLocal 绑定
Shiro 没有内置的跨线程传播机制，不能只靠 InheritableThreadLocal（原因同上：线程池复用导致上下文残留）。推荐做法是：
立即学习“Java免费学习笔记（深入）”；
JavaStoryDevelop
下载
你接手一个需求时，是不是经常这样："改一个小字段 → 结果把不相关的代码也改了"、"需求说得很模糊 → 做着做着发现跑偏了"、"数据库加个字段 → 上线才发现漏了数据兼容"、"做了个新功能 → 一个月后自己都忘了当时怎么设计的"、"写到一半被中断 → 再回来不知道从哪继续"；这个 Skill 就是专门解决这些问题的。 它会自动探测你的项目环境（JDK、Spring Boot、ORM、数据库、前端框架），记在
- 在提交异步任务前，显式获取当前 Subject（或 Session/Principal）
- 将关键认证信息（如 principal、session id）序列化后传入子线程
- 子线程中重建 Subject（通过 SecurityManager）或直接使用轻量级凭证对象
注意：不要直接传递 Subject 实例（非线程安全且含状态），应提取必要字段：
Subject subject = SecurityUtils.getSubject();
PrincipalCollection principals = subject.getPrincipals();
// 提取用户名、角色等不可变信息
String username = (String) principals.getPrimaryPrincipal();
CompletableFuture.runAsync(() -> {
// 子线程中基于 username 构建新 Subject（若需完整 Shiro 能力）
// 或直接用于鉴权逻辑（如 checkRole("admin") → 改为 if ("admin".equals(role))）
}, executor);
统一方案：TransmittableThreadLocal（TTL）适配双框架
无论用 Spring Security 还是 Shiro，只要上下文最终落地在 ThreadLocal 上，就可用 Alibaba 的 TransmittableThreadLocal 统一兜底：
- 将 SecurityContext 或 Shiro 凭证包装进 TTL 实例
- 用
TtlExecutors包装你的线程池（自动完成 capture-transmit-restore） - 无需改业务逻辑，对原有 SecurityUtils / SecurityContextHolder 透明
引入依赖：
<dependency> <groupId>com.alibaba</groupId> <artifactId>transmittable-thread-local</artifactId> <version>2.12.4</version> </dependency>
初始化线程池时包装：
ThreadPoolTaskExecutor executor = new ThreadPoolTaskExecutor(); // ... 配置参数 executor.setTaskDecorator(TtlRunnable::get); executor.initialize(); // 使用时，父线程先 set： TtlSecurityContext.set(SecurityContextHolder.getContext()); // 异步任务内可直接 get，无需额外操作
关键避坑点
以下错误做法高频出现，务必规避：
- 仅用
InheritableThreadLocal替换原 ThreadLocal —— 线程复用导致上下文错乱 - 忘记在 finally 块中
clear()或resetContext()—— 引发内存泄漏与上下文污染 - 在 @Async 方法上仅加
@EnableAsync却未配置支持异步的 SecurityContextHolder 策略 —— 安全上下文为空 - Shiro 中直接在线程池里调用
SecurityUtils.getSubject()—— 返回 null 或旧会话
