找到了一种方法来做到这一点，所以回答我自己的问题。Spring-security将上下文存储为HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY中的一个属性。因此，手动更新密钥（而不是通过Spring-Session）会导致更新Principal。

httpSession.setAttribute(
  HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY,
  SecurityContextHolder.getContext()
);

设置一个新的Authentication对象就足够了。您可以重新创建它，重新使用旧对象的某些部分：

final Authentication oldAuth = SecurityContextHolder.getContext().getAuthentication();
final Authentication newAuth = new PreAuthenticatedAuthenticationToken(
        newDetails, oldAuth.getCredentials(), oldAuth.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(newAuth);

如果对Authentication的引用发生了变化，这将触发对会话存储的更新（无论是Redis还是其他什么）...
设置特殊的会话属性HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY（常量"SPRING_SECURITY_CONTEXT"分布在Spring Security类中）也可能会触发一个新值通过会话存储（如Redis或DB）的传播，例如在RedisSessionRepository中，attributeName被放置到delta中保存：

@Override
public void setAttribute(String attributeName, Object attributeValue) {
    this.cached.setAttribute(attributeName, attributeValue);
    this.delta.put(getAttributeKey(attributeName), attributeValue);
    flushIfRequired();
}