Question

spring利用SecurityContextHolder获取用户信息的session 出现空指针异常，应该是我没设置，但不知道哪里设

不太明白SecurityContextHolder的原理，这里是怎样获取得我要的session
看了一些资料好像是通过xml配置文件来设置的，
但看来看去也--看不到设置“用户信息”
怎样会通过以下代码获取到用户名，不明白。

代码大致如下
public TUser getUser()
{
//取得登录用户
SecurityContext ctx = SecurityContextHolder.getContext();
Authentication auth = ctx.getAuthentication();
if(auth.getPrincipal() instanceof UserDetails)
{
user = (TUser)auth.getPrincipal();
//log.debug( "\nauth.getPrincipal()==============\n "+user.getUserid());
}

return user;
}
我对session不太了解，我想 应该是在用户登录的时候，
通过 登录框来设置用户的Session。

Answer 1

首先Spring security不完全是依赖HttpSession来保存用户对象，而是放在threadlocal里面的。
通过HttpSessionIntegrationFilter，它也会同步到HttpSession，在非servlet环境，可以直接通过SecurityContextHolder获取，在Serlvet环境，也可以用session.getAttribute(...)得到，那个key忘了。

spring security先post登录信息到/j_spring_security_check这条URL，这条URL会调用UserDetailService去检查用户是否valid，如果通过，就把user信息塞进SecurityContextHolder。