spring security过滤器与servlet过滤器执行顺序

### FilterRegistrationBean 注册的过滤器与 Spring Security 过滤器链执行顺序对比 在 Java Web 应用中，`FilterRegistrationBean` 和 Spring Security 的 `FilterChainProxy` 都可以通过 Servlet 容器注册过滤器。然而，两者的执行顺序取决于它们在 Servlet 容器中的注册位置。 #### 1. **Servlet 容器级别的过滤器** - 当使用 `FilterRegistrationBean` 注册过滤器时，该过滤器会被直接注册到 Servlet 容器（如 Tomcat 或 Jetty）。这意味着它的生命周期完全由容器管理[^3]。 - 如果未指定优先级，则这些过滤器按照声明顺序执行。如果指定了初始化参数 `order`，则会根据此值决定执行顺序，数值越低优先级越高。 #### 2. **Spring Security 的过滤器链** - Spring Security 使用 `DelegatingFilterProxy` 将其内部的 `FilterChainProxy` 注册到 Servlet 容器中。`FilterChainProxy` 负责管理整个 Spring Security 默认过滤器链的执行逻辑[^3]。 - Spring Security 的过滤器链具有固定的执行顺序，具体顺序可以在官方文档或调试日志中找到。例如，默认情况下，`UsernamePasswordAuthenticationFilter` 在 `BasicAuthenticationFilter` 前面执行[^2]。 #### 3. **两者之间的关系** - `FilterRegistrationBean` 注册的过滤器和 Spring Security 的过滤器链都属于同一层——即 Servlet 容器层面的过滤器集合。因此，它们的执行顺序遵循 Servlet 规范定义的原则：**按注册顺序依次调用**。 - 如果希望自定义过滤器在 Spring Security 过滤器之前或之后运行，可以调整 `FilterRegistrationBean` 的 `order` 属性。例如： ```java @Bean public FilterRegistrationBean<MyCustomFilter> customFilter() { FilterRegistrationBean<MyCustomFilter> registration = new FilterRegistrationBean<>(); registration.setFilter(new MyCustomFilter()); registration.addUrlPatterns("/*"); registration.setOrder(Ordered.HIGHEST_PRECEDENCE); // 设置最高优先级 return registration; } ``` #### 4. **典型场景分析** - **前置过滤器**：如果你有一个需要在 Spring Security 认证前完成的任务（比如记录请求头信息），可以设置较低的 `order` 值让 `FilterRegistrationBean` 注册的过滤器先于 Spring Security 执行。 - **后置过滤器**：如果你想在 Spring Security 处理完成后做一些额外工作（比如修改响应内容），可以设置较高的 `order` 值使自定义过滤器位于 Spring Security 之后。 #### 5. **总结** - 自定义过滤器通过 `FilterRegistrationBean` 注册时，其执行顺序受 `order` 参数控制。 - Spring Security 的过滤器链作为一个整体嵌套在 `FilterChainProxy` 中，并且总是作为单一单元参与全局过滤器链的调度。 - 若要确保某个自定义过滤器在 Spring Security 之前/之后执行，需合理配置 `FilterRegistrationBean` 的 `order` 属性[^3]。 ```java @Bean public FilterRegistrationBean<LoggingFilter> loggingFilter() { FilterRegistrationBean<LoggingFilter> registration = new FilterRegistrationBean<>(); registration.setFilter(new LoggingFilter()); registration.addUrlPatterns("/api/*"); registration.setOrder(-100); // 设定为负数表示高优先级 return registration; } ``` --- ###

Spring过滤器是一种用于拦截和处理HTTP请求和响应的组件。它可以在请求到达目标资源之前对请求进行拦截处理，也可以在响应到达客户端之前对响应进行拦截处理。在Spring中，可以通过实现javax.servlet.Filter接口或使用注解@WebFilter来创建过滤器。过滤器可以用于实现一些常见的功能，如身份验证、日志记录、字符编码转换等。