Как Spring Security сопоставляет обращение на сервер с клиентом

Spring Security использует SecurityContextHolder для хранения информации о текущем аутентифицированном пользователе. При каждом HTTP-запросе:

1. Фильтр SecurityContextPersistenceFilter восстанавливает SecurityContext из сессии (если используется) или создаёт новый.
2. Цепочка фильтров (например, UsernamePasswordAuthenticationFilter) проверяет запрос и аутентифицирует пользователя.
3. После успешной аутентификации создаётся Authentication объект, который помещается в SecurityContext.

Пример:

// Получение текущего пользователя
Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
String username = authentication.getName();

Для REST API часто используется JWT, где BearerTokenAuthenticationFilter извлекает токен из заголовка и валидирует его.