Метод помечен @Async, и внутри него SecurityContextHolder.getContext().getAuthentication() возвращает null. Почему?

Стратегия хранения по умолчанию — MODE_THREADLOCAL, поэтому любой переход в другой поток теряет контекст: это касается @Async, задач в собственном пуле и реактивных цепочек. Варианты решения: включить MODE_INHERITABLETHREADLOCAL, что работает для потоков, созданных напрямую, но бесполезно для пула, где потоки существовали заранее; либо, что правильнее, обернуть исполнитель в DelegatingSecurityContextExecutor или DelegatingSecurityContextAsyncTaskExecutor, который явно переносит контекст в задачу. В WebFlux механизм другой — контекст живёт в Reactor Context, а не в ThreadLocal. И совсем простой вариант: передать нужные данные о пользователе параметрами метода, не полагаясь на неявное состояние.