我正在尝试在http会话中持久化用户，并使用自定义过滤器验证网关内部的身份验证请求。我也发现了一个similar question：

安全配置：

@Configuration
public class SecurityConfig {

  @Bean
  public SecurityWebFilterChain securityWebFilterChain(
    ServerHttpSecurity http,
    MyAuthenticationFilter myAuthenticationFilter
  ) {
    http
      .csrf()
      .disable()
      .authorizeExchange()
      .pathMatchers("/**")
      .permitAll()
      .and()
      .addFilterAt(myAuthenticationFilter, SecurityWebFiltersOrder.FIRST); // custom filter

    return http.build();
  }

我的验证筛选器：

@Component
public class MyAuthenticationFilter implements WebFilter {

  @Override
  public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
    exchange.getSession().map(
        session -> {
          session.getAttributes().put("userId", "id123");

          // It does not print anything
          System.out.println("userId in session: " + session.getAttribute("userId"));
          return session;
        }
      );

    return chain.filter(exchange);
  }
}

通过添加一个自定义过滤器，并尝试读取/写入会话属性，正如我在调试模式中观察到的那样，map()内部的函数永远不会执行，终端中也不会输出任何内容。（不出所料，下游服务无法从会话中读取userId，即使网关和服务共享同一个会话）。
为什么它不工作？这里是一个最小的复制版本：Github repo，请看一下。