为什么spring安全上下文不能持久化经过身份验证的自定义用户？

Spring Security的安全上下文是基于线程的，它在每个请求处理过程中都会创建一个安全上下文对象，并将其绑定到当前线程上。这个安全上下文对象包含了当前用户的身份认证信息和权限等安全相关的信息。

然而，Spring Security的安全上下文默认是不支持持久化的，即在每个请求处理完毕后，安全上下文对象会被销毁。这是因为持久化安全上下文会引入一些潜在的安全风险和复杂性。

首先，持久化安全上下文可能会导致用户身份信息的泄露。如果安全上下文对象被持久化到数据库或其他存储介质中，那么用户的身份认证信息也会被存储下来。这样一来，如果存储介质被攻击者获取或者存在其他安全漏洞，用户的身份信息可能会被泄露，从而造成安全风险。

其次，持久化安全上下文会增加系统的复杂性。由于安全上下文对象包含了用户的身份认证信息和权限等敏感信息，需要确保存储和访问这些信息的安全性。这就需要额外的开发和维护工作，包括加密存储、访问控制、定期更新等。这些工作会增加系统的复杂性和开发成本。

因此，Spring Security默认选择了一种简单且安全的方式，即每个请求处理完毕后销毁安全上下文对象。这样可以确保用户的身份信息不会被持久化存储，减少了安全风险和系统复杂性。

如果确实有需要将安全上下文持久化，可以通过自定义实现来实现。可以自定义一个实现了SecurityContextRepository接口的类，用于将安全上下文对象存储到数据库或其他存储介质中，并在需要时进行读取和恢复。但是在实现过程中需要特别注意安全性和性能方面的考虑，确保用户的身份信息不会被泄露，并且不会影响系统的性能。

腾讯云相关产品和产品介绍链接地址：