SecurityContext 是无泛型接口，其安全性依赖 Authentication 中泛型方法（如 getAuthorities() 使用 ? extends GrantedAuthority）的合理设计与使用，需通过类型检查、显式传递上下文等方式保障类型安全与线程安全。
SecurityContext 本身不是泛型类，也不涉及通配符（?）类型参数，它只是一个接口，定义为 interface SecurityContext extends Serializable，只提供 getAuthentication() 和 setAuthentication() 方法。所谓“通配符泛型对象的安全传递”，实际是指在使用 Authentication（尤其是其 getPrincipal()、getAuthorities() 等返回泛型集合的方法）时，如何避免类型擦除带来的不安全强转或 ClassCastException。
Authentication 中的泛型使用场景
虽然 SecurityContext 无泛型，但它的核心成员 Authentication 接口包含多个泛型方法：
-
Authentication.getPrincipal(): Object—— 实际常为UserDetails或自定义用户实体，但编译期无类型约束 -
Authentication.getAuthorities(): Collection<? extends GrantedAuthority>—— 这是典型的上界通配符用法，保证集合中元素都是GrantedAuthority或其子类型，支持安全读取，但禁止向集合中添加（因编译器无法确认具体子类型） -
UsernamePasswordAuthenticationToken构造时可传入Object principal和Collection<? extends GrantedAuthority>，框架内部不做泛型校验，依赖开发者保障类型一致性
为什么不能直接用 Collection<GrantedAuthority>？
使用 Collection<? extends GrantedAuthority> 而非 Collection<GrantedAuthority> 是为了兼容扩展性：
当用户要求为 Java 代码添加注释、修改注释、审查注释、整理注释格式，或要求按照代码注释规范处理 Java 文件时，使用本技能。本技能用于统一生成和维护 Java 类注释模板、按 Git 对比 release 判断版本号、补充每行代码上方中文块注释、调整注释空行规则，并保持 Java 文件 UTF-8 无 BOM 编码。典型触发场景包括：补充类注释、更新 @version、检查 @author 来源、整理行尾注释、把注释放到代码上一行、检查注释是否符合规范、构建前检查 Java 注释风格。
- 允许实现类返回
SimpleGrantedAuthority、RoleGrantedAuthority或自定义权限类型 - 避免因泛型实化缺失导致运行时类型冲突（Java 擦除后均为
Collection） - 符合 PECS 原则（Producer-Extends, Consumer-Super）：此处
getAuthorities()是生产者，应使用extends
安全获取与转换当前用户信息
从 SecurityContextHolder 获取认证信息时，需主动做类型判断和安全转换：
立即学习“Java免费学习笔记（深入）”；
- 始终检查
auth != null && auth.isAuthenticated()，避免空指针或匿名访问误判 - 用
instanceof判断principal类型再强转，而非直接(UserDetails) auth.getPrincipal() - 若使用自定义用户类（如
AppUser），建议统一返回AppUser实例，并确保Authentication实现类（如UsernamePasswordAuthenticationToken）构造时传入正确类型 - 权限集合遍历时直接按
GrantedAuthority处理即可，无需向下转型——除非业务逻辑明确依赖某子类特有字段
异步线程中保持上下文安全
默认 MODE_THREADLOCAL 不跨线程，异步任务（如 @Async）中 SecurityContextHolder.getContext() 返回空或默认匿名上下文：
- 启用
MODE_INHERITABLETHREADLOCAL可让子线程继承父线程的SecurityContext - 更推荐显式传递：在异步调用前获取
SecurityContext对象，作为参数传入任务方法，在子线程内用SecurityContextHolder.setContext(...)主动设置 - 注意清理：若手动 set，务必在任务结束前调用
SecurityContextHolder.clearContext()，防止线程复用污染
