SecurityContextHolder

保护 Spring AI 代理：使用 ScopedValue 防止权限升级

使用 Spring AI 构建 AI 代理的开发人员需要实施强大的安全措施来防止权限升级。标准的 ThreadLocal 安全上下文对于异步执行循环来说是不够的，因为它们可能会丢失用户上下文。推荐的方法是使用 Java 21+ 的 ScopedValue 在异步边界上传播发起用户的安全上下文，并直接将声明式授权与 Spring Security 的 @PreAuthorize 注释应用于工具方法。