spring

　　在Spring Security里，当前登录用户的信息都围绕SecurityContext中的Authentication展开，你能拿到多“详细”，取决于认证时把什么放进principal。至于所有登录过的用户，框架默认不会替你做历史留存与全量查询，它更关注的是当前请求是谁在访问，如果你要在线列表或历史记录，需要你自己补一层会话管理或审计记录。

　　一、Spring Security怎么获取当前登录用户的详细信息

　　先把获取路径分清楚，你会发现无论是Controller里注入，还是从上下文里取，本质都是在读同一个Authentication，只是入口不同，适用场景不同。

　　1、从SecurityContextHolder直接取Authentication

　　在业务代码里通过SecurityContextHolder.getContext获取上下文，再取到Authentication，然后分别读取name、authorities、principal这几个核心字段，用于拿到用户名、角色与主体对象。

　　2、在Controller方法参数里直接注入Authentication

　　在Spring MVC的接口方法上把Authentication作为参数接收，通常就能拿到当前请求对应的认证信息，这种写法更直观，也更方便单元测试与接口层封装。

　　3、用Authentication的principal判断能拿到哪些详细字段

　　如果principal是UserDetails，你通常能直接拿到username与authorities，但更细的字段例如userId、部门、租户，需要你自定义UserDetails或自定义principal对象，把这些字段在认证成功时放进去。

　　4、只在principal放稳定标识,详细资料按需查库或查缓存

　　更稳的实践是principal里只放userId或username这类稳定标识，接口需要手机号、组织信息、权限明细时再去业务库查询，避免把大量可变字段塞进上下文导致同步成本与一致性问题。

　　5、OAuth2或JWT场景从token信息映射出业务用户视图

　　如果你用的是OAuth2登录或JWT无状态鉴权，用户的详细信息往往在claims里，你可以把必要字段映射成自己的用户对象，或者只读取userId、scope、roles这类关键字段，其他信息仍按需查询。

　　二、Spring Security所有登录过的用户的信息都能够获取吗

　　这里要区分两个概念，历史上登录过哪些用户，与当前在线的已登录用户是谁，这两类需求的实现方式完全不同。

　　1、历史上所有登录过的用户,Spring Security默认拿不到

　　Spring Security默认不保存登录历史，不会提供一个接口让你直接查询所有曾经登录成功的用户列表，如果你没有额外记录，就只能依赖你自己的用户表与日志系统来还原。

　　2、要拿登录历史,用认证事件或成功处理器做审计落库

　　你可以在登录成功与失败时记录事件，例如在认证成功处理器里写入一条登录记录，包含userId、时间、来源IP、客户端标识、结果与失败原因，这样才能实现按时间段查询与审计追溯。

　　3、当前在线用户列表只在基于Session的登录模式下更可行

　　如果你的系统是Session模式，Spring Security可以配合SessionRegistry追踪已认证主体与会话信息，你能拿到当前有哪些principal处于在线状态，也能拿到每个用户对应的会话数量与是否过期。

　　4、集群环境默认的在线统计不可靠,需要共享Session存储

　　单机内存里的SessionRegistry只能看到本节点的会话，集群下会变成各节点各算各的。要做全局在线列表与踢人下线，通常要接入Spring Session，把会话放到共享存储里，再基于共享会话做统计与控制。

　　5、JWT无状态鉴权下不存在框架级在线用户列表

　　JWT模式下服务端不维护会话，框架层自然也就没有一个可查询的在线用户集合。你如果要在线统计或强制下线，需要自己维护token发放与吊销状态，例如记录token标识与userId绑定关系，再做黑名单或吊销表控制。

　　三、Spring Security获取用户信息的落地做法

　　把需求拆成当前请求取用户、在线用户治理、历史登录审计三条线分别落地，边界清晰后，代码与运维成本都会更可控。

　　1、当前请求取详细信息,统一封装一个CurrentUser访问入口

　　在业务层封装一个组件，内部从Authentication取userId或username，再按需查询业务用户表返回一个稳定的用户视图对象，避免每个Controller都重复写读取逻辑与类型判断。

　　2、需要把userId放进principal,就自定义UserDetails与UserDetailsService

　　在加载用户时把userId、租户等关键字段放入自定义UserDetails，实现一次认证后全链路可取，接口只读稳定标识，其他信息仍可按需补齐。

　　3、要做在线用户列表,明确你用Session还是token

　　如果你走Session，就用SessionRegistry加Spring Session做全局可见的会话治理。若你走token，就把在线治理当作业务能力来建设，建立token记录、吊销与过期策略。

　　4、要做历史登录用户查询,必须落库或进日志平台

　　把登录成功与失败都写入审计表或日志平台，字段口径保持一致，再提供按用户、按时间、按来源的查询接口，这样才能满足安全审计与问题追踪需求。

　　总结

　　获取当前登录用户的详细信息，核心是读取SecurityContext中的Authentication，并根据principal的类型决定能取到哪些字段，常见做法是只放稳定标识再按需查库补齐。Spring Security默认无法直接获取所有历史登录过的用户信息，历史维度需要你通过认证事件或成功处理器做审计记录，在线维度在Session模式下可用SessionRegistry结合Spring Session做全局统计，而JWT等无状态模式则需要自建token治理与记录机制。