Spring Boot Webflux Security — чтение Принципала в классе обслуживания при написании тестов

Я новичок в экосистеме Spring в целом и в Webflux. Есть две вещи, которые я пытаюсь выяснить и не могу найти никаких подробностей.

Моя установка:

Я пишу Spring Boot 2 REST API, используя WebFlux (не используя контроллеры, а скорее функции обработчика). Сервер аутентификации — это отдельная служба, которая выдает токены JWT, которые прикрепляются к каждому запросу в виде заголовков аутентификации. Вот простой пример метода запроса:

public Mono<ServerResponse> all(ServerRequest serverRequest) {
        return principal(serverRequest).flatMap(principal ->
                ReactiveResponses.listResponse(this.projectService.all(principal)));
    }

Который я использую, чтобы отреагировать на запрос GET для списка всех «Проектов», к которым у пользователя есть доступ.

После этого у меня есть служба, которая извлекает список проектов для этого пользователя, и я отображаю ответ json.

Проблемы:

Теперь, чтобы отфильтровать проекты на основе текущего идентификатора пользователя, мне нужно прочитать его из принципала запроса. Одна из проблем здесь заключается в том, что у меня есть множество сервисных методов, которым нужна текущая информация о пользователе, и передача ее сервису кажется излишним. Одним из решений является чтение принципала внутри службы из:

Object principal = SecurityContextHolder.getContext().getAuthentication().getPrincipal();

Вопрос 1:

Является ли это хорошей практикой в ​​целом при написании функционального кода (если я делаю это вместо распространения принципала)? это хороший подход, несмотря на сложность чтения и отправки принципала из запроса в сервис в каждом методе?

Вопрос 2:

Должен ли я вместо этого использовать локальный поток SecurityContextHolder для получения принципала, и если я это сделаю, как мне написать тесты для моей службы?

Если я использую контекст безопасности, как мне протестировать свои реализации службы, ожидающие принципала типа JWTAuthenticationToken

и я всегда получаю null, когда пытаюсь сделать что-то вроде описанного здесь: Модульное тестирование с Spring Security

В сервисных тестах В тестах то, что мне удалось сделать до сих пор, - это распространить принципала на методы службы и использовать mockito для имитации принципала. Это довольно просто. В тестах конечной точки я использую @WithMockUser для заполнения принципала при выполнении запросов, и я имитирую уровень сервиса. Недостатком этого является то, что основной тип отличается.

Вот как выглядит мой тестовый класс для сервисного слоя:

@DataMongoTest
@Import({ProjectServiceImpl.class})
class ProjectServiceImplTest extends BaseServiceTest {

    @Autowired
    ProjectServiceImpl projectService;

    @Autowired
    ProjectRepository projectRepository;

    @Mock
    Principal principal;

    @Mock
    Principal principal2;

    @BeforeEach
    void setUp() {
        initMocks(this);

        when(principal.getName()).thenReturn("uuid");
        when(principal2.getName()).thenReturn("uuid2");
    }

    // Cleaned for brevity 

    @Test
    public void all_returnsOnlyOwnedProjects() {
        Flux<Project> saved = projectRepository.saveAll(
                Flux.just(
                        new Project(null, "First", "uuid"),
                        new Project(null, "Second", "uuid2"),
                        new Project(null, "Third", "uuid3")
                )
        );
        Flux<Project> all = projectService.all(principal2);
        Flux<Project> composite = saved.thenMany(all);

        StepVerifier
                .create(composite)
                .consumeNextWith(project -> {
                    assertThat(project.getOwnerUserId()).isEqualTo("uuid2");
                })
                .verifyComplete();
    }

}