在SpringSecurity中，是否为每个用户创建了一个身份验证对象，以便可以同时对多个用户进行身份验证，或者是每次进行一次身份验证，但只能有一个用户登录？
当然可以同时验证多个用户！
验证对象的有效期有多长？当JWT在验证模块中创建后，我应该成功“注销”/删除验证，还是在请求完成后由它自己处理？
您将服务编写为REST，如果您希望保持“清教徒”REST，则应将身份验证配置为无状态，这意味着在处理请求时将删除Authentication对象。这不会影响JWT标记的有效性，如果需要，您可以设置JWT标记的过期时间。
如何使用“Java config”使REST无状态：

@Configuration
public static class RestHttpConfig extends WebSecurityConfigurerAdapter
{
    @Override
    protected void configure(HttpSecurity http) throws Exception
    {
        http
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        // and the rest of security config after this

对于资源端点（而不是身份验证端点），是否有一种方法可以在验证JWT后在身份验证对象中设置身份验证成功？类似地，是否可以在验证JWT后在身份验证对象中设置角色？

• 在 * 验证令牌后，我使用类似于以下代码：

Collection<? extends GrantedAuthority> authorities = Collections.singleton(new SimpleGrantedAuthority("ROLE_JWT"));
Authentication authentication = new PreAuthenticatedAuthenticationToken(subject, token, authorities);
SecurityContextHolder.getContext().setAuthentication(authentication);

通过使用至少一个角色（授权）构造身份验证对象，它被标记为“成功”（已验证）。