SecurityContextHolder 관련 질문이 있습니다!

네

SecurityContextHolder 은 SecurityContext 를 ThreadLocal 에 저장하고 있습니다.

SecurityContextHolder 는 전략패턴에 따라 기본값은 ThreadLocalSecurityContextHolderStrategy 클래스를 사용합니다.

final class ThreadLocalSecurityContextHolderStrategy implements SecurityContextHolderStrategy {
    private static final ThreadLocal<SecurityContext> contextHolder = new ThreadLocal();

    ThreadLocalSecurityContextHolderStrategy() {
    }

    public void clearContext() {
        contextHolder.remove();
    }

    public SecurityContext getContext() {
        SecurityContext ctx = (SecurityContext)contextHolder.get();
        if (ctx == null) {
            ctx = this.createEmptyContext();
            contextHolder.set(ctx);
        }

        return ctx;
    }
   ......

   ..... 
}

코드를 보시면 contextHolder 가 ThreadLocal 이고 contextHolder.get() 과 contextHolder.set(ctx) 를 통해 SecurityContext 객체를 저장하고 있습니다.

여기서 ThreadLocal 내부를 잠시 들여다 보겠습니다.

public T get() {
    Thread t = Thread.currentThread();
    ThreadLocalMap map = getMap(t);
    if (map != null) {
        ThreadLocalMap.Entry e = map.getEntry(this);
        if (e != null) {
            @SuppressWarnings("unchecked")
            T result = (T)e.value;
            return result;
        }
    }
    return setInitialValue();
}

ThreadLocal 의  get() 메소드인데 보시면 현재 접속해 있는 Thread 를 참조합니다.

즉 각 사용자에게 할당된 스레드입니다.

그리고 각 스레드마다 고유하게 할당된 ThreadLocal 인 this 를 키로 해서 어떤 값(여기서는 SecurityContext) 를 얻고 있습니다.

그리고 set() 메소들입니다.

public void set(T value) {
    Thread t = Thread.currentThread();
    ThreadLocalMap map = getMap(t);
    if (map != null) {
        map.set(this, value);
    } else {
        createMap(t, value);
    }
}

역시 현재 접속해 있는 스레드를 참조하고 해당 스레드만 가지고 있는 TheadLocal 인 this 를 키로 해서 어떤 값 즉 SecurityContext 를 맵에 저장하고 있습니다.

그렇기 때문에 비록 SecurityContextHolder 가 static 한 ThreadLocal 를 참조하고 있지만 ThreadLocal 내부적으로는 각 스레드마다 자신만의 ThreadLocal 을 키로 해서 SecurityContext 값을 저장 및 조회하고 있기 때문에 스레드에 안전하게 됩니다.