本文介绍了如何在 Spring Boot 项目中，使用 Thymeleaf 模板引擎向 Controller 传递用户身份信息，而无需在视图层显式展示或让用户输入。通过 @AuthenticationPrincipal 注解，可以直接在 Controller 中获取当前认证用户的身份信息，从而避免在视图中传递敏感信息，并简化代码逻辑。
使用 @AuthenticationPrincipal 获取当前用户
在 Spring Security 集成的 Web 应用中，通常需要获取当前登录用户的身份信息，以便进行权限验证、数据关联等操作。传统的做法可能是在视图层通过 JavaScript 获取用户信息，然后将其作为隐藏字段传递到 Controller。然而，这种方式不仅增加了前端的复杂性，还可能暴露敏感信息。
Spring Security 提供了 @AuthenticationPrincipal 注解，可以直接在 Controller 的方法参数中获取当前认证用户的 Principal 对象。这个 Principal 对象包含了用户的身份信息，例如用户名、权限等。
示例代码：
@PostMapping("/changePassword")
public String updatePassword(@AuthenticationPrincipal MySecurityUser securityUser,
@ModelAttribute("user") User user,
Model model) {
model.addAttribute("user", user);
// 从 securityUser 中获取用户名
String username = securityUser.getUsername();
user.setPassword(passwordEncoder.encode(user.getPassword()));
userService.changeUserPassword(username, user.getPassword());
return "display";
}在上述代码中，@AuthenticationPrincipal MySecurityUser securityUser 表示从当前认证上下文中获取类型为 MySecurityUser 的用户对象。你需要将 MySecurityUser 替换为你实际使用的用户类。如果你的安全配置比较简单，可以直接使用 UserDetails 或 User 类。
确定 Principal 对象的类型
如果你不确定 Principal 对象的具体类型，可以先将其声明为 Object 类型，然后在运行时通过调试或打印日志的方式来确定实际的类型：
@PostMapping("/changePassword")
public String updatePassword(@AuthenticationPrincipal Object principal,
@ModelAttribute("user") User user,
Model model) {
System.out.println("Principal class: " + principal.getClass().getName());
// ...
}注意事项：
- 确保你的项目已经正确配置了 Spring Security，并且已经实现了用户认证和授权机制。
- @AuthenticationPrincipal 注解只能用于 Controller 的方法参数中。
- 如果当前用户未认证，@AuthenticationPrincipal 注解将返回 null。因此，在使用 Principal 对象之前，应该进行判空处理。
- MySecurityUser 需要替换成你项目中实际使用的用户类型，这个类型通常实现了 UserDetails 接口。
总结：
通过使用 @AuthenticationPrincipal 注解，可以方便地在 Controller 中获取当前登录用户的身份信息，避免在视图层传递敏感信息，并简化代码逻辑。这种方式更加安全、高效，是 Spring Security 推荐的做法。
参考资料：
