当前位置： 首页 > news >正文

Filter和Interceptor详解（一文了解执行阶段及其流程）

news 2025/6/8 3:59:33

Filter和Interceptor的区别

Filter（过滤器）和 Interceptor（拦截器）都是用于在请求处理前后插入额外逻辑的组件，下面依次介绍，并额外介绍Spring Gateway的过滤器（GlobalFilter/GatewayFilter）和Spring Security的过滤器（SecurityFilter）

过滤器（Filter）

基本概念

  • 所属规范：Java Servlet 规范（javax.servlet.Filter），只依赖于servlet，不需要依赖spring框架

  • 作用层级：Web 容器层（Tomcat/Jetty 等）。

  • 拦截范围：所有 HTTP 请求（包括静态资源、JSP、Controller 等）。

  • 执行时机：在请求进入 DispatcherServlet 之前执行。

    HTTP Request → Tomcat → Filter1 → Filter2 → ... → DispatcherServlet → Interceptor → Controller

核心方法

public interface Filter {void init(FilterConfig filterConfig);  // 初始化void doFilter(ServletRequest request, ServletResponse response, FilterChain chain);  // 核心逻辑void destroy();  // 销毁
}

init(FilterConfig filterConfig)

  • 在过滤器实例被创建后由容器调用一次。
  • 用于读取配置参数、初始化资源。

doFilter(ServletRequest request, ServletResponse response, FilterChain chain)

  • 每次请求都会调用。
  • 可在调用 chain.doFilter() 前后添加逻辑：
    • chain.doFilter(request, response) 表示放行，进入下一个过滤器或目标资源（如 Servlet）。
    • 可以在放行前做请求预处理，放行后做响应后处理。

destroy()

  • 服务器关闭或过滤器被移除前调用。
  • 用于释放资源。

自定义Filter

以springboot项目中为例自定义日志Filter

public class LogFilter implements Filter {@Overridepublic void init(FilterConfig filterConfig) {System.out.println("LogFilter 初始化");}@Overridepublic void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)throws IOException, ServletException {HttpServletRequest req = (HttpServletRequest) request;String path = req.getRequestURI();String ip = request.getRemoteAddr();long start = System.currentTimeMillis();System.out.println("[LogFilter] 请求路径: " + path + ", 来自 IP: " + ip);chain.doFilter(request, response); // 放行long duration = System.currentTimeMillis() - start;System.out.println("[LogFilter] 请求耗时: " + duration + " ms");}@Overridepublic void destroy() {System.out.println("LogFilter 销毁");}
}@Configuration
public class FilterConfig {@Beanpublic FilterRegistrationBean<LogFilter> logFilterRegistration() {FilterRegistrationBean<LogFilter> registration = new FilterRegistrationBean<>();registration.setFilter(new LogFilter());registration.addUrlPatterns("/*");         // 过滤所有请求registration.setName("logFilter");registration.setOrder(1);                  // 优先级，值越小越优先return registration;}
}

FilterRegistrationBean 是 Spring Boot 提供的一个工具类，用于在代码中显式注册一个自定义 Filter，而不依赖 @WebFilter 或 web.xml。它封装了 Filter 的注册信息，允许你控制：

  • 注册的 URL 路径（addUrlPatterns）
  • 执行顺序（setOrder）
  • 是否启用（setEnabled）
  • 初始化参数（addInitParameter）

拦截器（Interceptor）

基本概念

  • 所属框架：Spring MVC（HandlerInterceptor）。

  • 作用层级：Spring 框架层（仅拦截 Controller 请求）。

  • 拦截范围：仅拦截 @RequestMapping 方法，不拦截静态资源。

  • 执行时机：在 DispatcherServlet 之后、Controller 之前执行。

    HTTP Request → DispatcherServlet → Interceptor.preHandle() → Controller → Interceptor.postHandle() → 视图渲染 → Interceptor.afterCompletion()

核心方法

public interface HandlerInterceptor {boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler);  // Controller 前执行void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView);  // Controller 后执行void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex);  // 请求完成后执行
}

preHandle

  • 时机： 在 Controller 的方法调用之前执行。
  • 返回值：
    • 返回 true：继续流程（如调用下一个拦截器或 Controller 方法）。
    • 返回 false：中断流程，请求不会传到 Controller。
  • 常见用途： 登录校验、权限验证、请求签名校验等。

postHandle

  • 时机： Controller 方法执行之后，视图渲染之前执行。
  • 作用： 可以修改 ModelAndView 中的数据或视图。

afterCompletion

  • 时机： 整个请求完成后（包括视图渲染后）执行。
  • 作用： 用于资源清理、日志记录、异常处理等。
  • 总会调用，除非服务器崩溃。

自定义Interceptor

// 实现 HandlerInterceptor
public class AuthInterceptor implements HandlerInterceptor {@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {System.out.println("Interceptor: 请求前校验");return true; // true=放行，false=拦截}@Overridepublic void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) {System.out.println("Interceptor: 控制器执行后，视图渲染前");}@Overridepublic void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) {System.out.println("Interceptor: 请求完成后（视图渲染完毕）");}
}// 注册 Interceptor
@Configuration
public class WebConfig implements WebMvcConfigurer {@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(new AuthInterceptor()).addPathPatterns("/api/**"); // 拦截 /api 开头的路径}
}

addInterceptors 是 Spring Boot 中用于注册自定义拦截器的方法，定义在 WebMvcConfigurer 接口中。

  • addInterceptor：注册你的拦截器实例
  • addPathPatterns：指定哪些 URL 会被拦截（支持通配符，如 /** 表示全部）
  • excludePathPatterns：指定哪些 URL 不被拦截

应用场景

Filter：（适用请求前统一处理）

  • 请求/响应预处理：修改请求头、请求体或响应头、响应体
  • 编码设置：统一设置请求和响应的字符编码
  • 跨域处理：添加 CORS 相关头信息
  • 登录验证：简单的身份验证(但不如Interceptor灵活)
  • 日志记录：记录原始请求信息
  • 静态资源过滤：对特定文件类型进行特殊处理
  • 数据压缩：对响应内容进行压缩

Interceptor（适用controller前后业务逻辑）

  • 业务逻辑拦截：如权限验证、操作日志记录
  • 用户认证：更细粒度的权限控制(如基于角色的访问控制)
  • 性能监控：记录方法执行时间
  • 参数校验：对Controller方法的参数进行校验
  • AOP功能：实现类似面向切面编程的功能

执行顺序

若有两个filter和两个interceptor，执行顺序如下，Filter.before是指放行前处理，Filter.after是指放行后处理。

Request →Filter1.before →Filter2.before →InterceptorA.preHandle →InterceptorB.preHandle →Controller →InterceptorB.postHandle →InterceptorA.postHandle →InterceptorB.afterCompletion →InterceptorA.afterCompletion →
Filter2.after →
Filter1.after →
Response ←

Spring Cloud Gateway

基本概念

  • 所属框架：Spring Cloud Gateway，基于 WebFlux 的过滤器链（非 Servlet 体系）。

    WebFlux 是 Spring Framework 5 引入的一个全新基于 Reactor 构建响应式编程框架，用于构建非阻塞、异步的 Web 应用程序。它是 Spring MVC 的补充，特别适合需要高并发、低延迟的场景（如实时数据处理、流式 API 或 I/O 密集型应用）。

  • 作用层级：API 网关层（在请求到达微服务前）。

  • 拦截范围：所有经过 Gateway 的请求（可路由到不同服务）。

  • 执行时机：在请求被转发到目标服务前执行。

    HTTP Request → WebFlux 底层 → GlobalFilter1 → GlobalFilter2 → GatewayFilter → 路由转发到目标服务

  • 过滤器类型：

    • GlobalFilter：全局过滤器，对所有路由生效。
    • GatewayFilter：针对特定路由的过滤器。需要在路由规则中显式声明（通过 filters 字段）。

  • 特点：

    • 非阻塞（基于 Reactor 模型）。
    • 可修改请求/响应（如添加 Header、重定向）。

核心接口

public interface GlobalFilter {Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain);
}
  • ServerWebExchange exchange：封装了 HTTP 请求和响应的信息。
  • GatewayFilterChain chain：用于将请求传递给下一个过滤器。

自定义GatewayFilter

@Component
public class MyGlobalFilter implements GlobalFilter, Ordered {@Overridepublic Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {// 请求前逻辑System.out.println(">>> 请求路径：" + exchange.getRequest().getURI());return chain.filter(exchange).then(Mono.fromRunnable(() -> {// 响应后逻辑System.out.println("<<< 响应状态码：" + exchange.getResponse().getStatusCode());}));}@Overridepublic int getOrder() {return 0; // 数值越小，优先级越高}
}

Spring Security

基本概念

  • 所属框架：Spring Security，基于 Servlet 过滤器链（FilterChainProxy）。

  • 作用层级：应用安全层（在请求到达 Controller 前）。

  • 拦截范围：所有进入 Spring MVC 的请求（可配置忽略静态资源）。

  • 执行时机：在 DispatcherServlet 之前

    HTTP Request  → Spring Security 过滤器链 → DispatcherServlet -> Controller

  • 特点：

    • 阻塞式（基于 Servlet 规范）。
    • 专注于认证（Authentication）和授权（Authorization）。

核心过滤器链

Spring Security 的过滤器链（FilterChainProxy）包含多个 核心过滤器，例如：

过滤器类说明
SecurityContextPersistenceFilter加载与保存 SecurityContext
UsernamePasswordAuthenticationFilter表单登录认证
BasicAuthenticationFilterHTTP Basic 认证
BearerTokenAuthenticationFilterBearer Token（如 OAuth2 或 JWT）认证
ExceptionTranslationFilter处理认证异常和权限异常
FilterSecurityInterceptor最终权限校验逻辑
CsrfFilterCSRF 防护
LogoutFilter处理退出登录
AuthorizationFilter授权过滤器（Spring Security 6 引入）

如何使用这些核心过滤器？

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {return http.csrf(csrf -> csrf.disable()) // 配置 CsrfFilter（禁用）.authorizeHttpRequests(auth -> auth.requestMatchers("/admin/**").hasRole("ADMIN") // 配置 FilterSecurityInterceptor 的权限规则.anyRequest().authenticated()).formLogin(withDefaults()) // 开启 UsernamePasswordAuthenticationFilter.logout(withDefaults())    // 开启 LogoutFilter.build();
}
配置语句对应过滤器
csrf().disable()CsrfFilter
authorizeHttpRequests()FilterSecurityInterceptor
formLogin()UsernamePasswordAuthenticationFilter
logout()LogoutFilter

自定义过滤器

推荐继承 OncePerRequestFilter 类，因为 OncePerRequestFilter 可以确保每个请求只被过滤一次。

public class CustomFilter extends OncePerRequestFilter {@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)throws ServletException, IOException {// 在这里添加自定义逻辑System.out.println("CustomFilter is processing the request");// 继续执行过滤器链filterChain.doFilter(request, response);}
}@Configuration
public class SecurityConfig {@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {http.authorizeHttpRequests().anyRequest().authenticated().and().addFilterBefore(new CustomFilter(), UsernamePasswordAuthenticationFilter.class); // 在UsernamePasswordAuthenticationFilter 之前添加自定义过滤器return http.build();}
}

执行流程总览

如果一个项目中集成了Spring Cloud Gateway 和 Spring Security

Servlet Filter、Interceptor、Spring Gateway Filter、Spring Security FilterChain的执行顺序

HTTP Request├─ 0. 进入网关服务│├─ 1. Spring Gateway Filter（GlobalFilter/GatewayFilter）│├─ 2. Spring Security FilterChain（SecurityFilter）│├─ 3. 路由转发到目标服务│├─ 4. Servlet Filter（如 CharacterEncodingFilter）│├─ 5. DispatcherServlet（Spring MVC 入口）│├─ 6. HandlerInterceptor（preHandle）│├─ 7. Controller 方法│├─ 8. HandlerInterceptor（postHandle）│├─ 9. 视图渲染（如 Thymeleaf）│└─ 10. HandlerInterceptor（afterCompletion）
http://www.xdnf.cn/news/658279.html

相关文章：

  • CVE-2024-36467 Zabbix权限提升
  • java枚举和mybaits-plus结合实现映射输出和存储
  • VScode怎么运行一个c语言程序
  • ChatGPT与认知科学：人机协同的未来图景
  • STM32 IIC总线死锁问题总结
  • 洛谷——P3372 【模板】线段树 1
  • webpack吐环境分析
  • 为什么使用ollama运行的模型不用gpu也可以使用
  • [攻防世界] easyphp writeup
  • Graph Neural Network(GNN)
  • 如何通过全流量溯源分析系统实现高效的网络质量监控
  • JavaSE核心知识点04工具04-02（IDEA）
  • 关于（stream）流
  • MySQL的基础操作
  • 内网搭建NTS服务器
  • 网络安全之Web渗透加解密
  • 原子操作（Atomic Operations）在SOC中的应用场景
  • 【R语言编程绘图-函数篇】
  • Sparse VideoGen开源：完全无损，视频生成速度加速两倍，支持Wan 2.1、HunyuanVideo等
  • DAY12打卡 启发式算法
  • 基于yjs实现协同编辑页面
  • 学习黑客Metasploit 框架的原理
  • 端午假期 · 粽享欢乐
  • 开源Vue表单设计器 FcDesigner 组件提供的方法详解
  • 《1.1_4计算机网络的分类|精讲篇|附X-mind思维导图》
  • deepseek告诉您http与https有何区别？
  • CQF预备知识：一、微积分 -- 1.4.6 莱布尼茨法则详解
  • Mysql在SQL层面的优化
  • [Java实战]SpringBoot集成SNMP实现OID数据获取：原理、实践与测试（三十三）
  • GitLab 从 17.10 到 18.0.1 的升级指南