问Spring Security:为什么身份验证是扩展主体？

EN

Spring Security假设身份验证是一个主体。

public interface Authentication extends Principal, Serializable {}

HttpServletRequest有getUserPrincipal方法，负责访问主体对象。

让我们考虑一下这个案例：

public interface RealPrincipal extends Principal {
   public Integer getId();
}

公共模块A有真正的主体接口和实现。

模块A使用公共模块A，Servlet Api，不依赖于Spring Security：

模块B使用公共模块A，Servlet Api，并配置Spring Security。此模块负责安全和UserDetails实现。

Web A使用模块A和模块B。

为了使用请求方法，我最终实现了这样一个实现：

public ModelAndView someRequestHandler(Principal principal) {
   User activeUser = (User) ((Authentication) principal).getPrincipal();
   ...
}

这迫使我对模块A和其他模块依赖Spring Security。我认为正确的servlet api抽象不应该依赖于spring安全性。request.getUserPrincipal应返回实数本金。

请解释为什么org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestWrapper返回

身份验证而不是Real Principal。

编辑:我已经将公共模块A添加到我的场景中，并更新了模块B负责安全性。