一文读懂Spring Security过滤器链：从配置到执行全解析

一文读懂Spring Security过滤器链：从配置到执行全解析

【免费下载链接】spring-security Spring Security 项目地址: https://gitcode.com/gh_mirrors/spr/spring-security

你还在为Spring Security的过滤器链配置感到困惑吗？作为Spring生态中最流行的安全框架，其核心机制"过滤器链（Filter Chain）"常常让开发者望而却步。本文将从源码角度拆解过滤器链的工作原理，通过流程图和实战案例，带你掌握从配置到执行的完整流程，轻松应对Web应用安全防护需求。

读完本文你将获得：

• 过滤器链的核心概念与作用
• 3种配置方式的对比分析
• 执行流程的可视化解析
• 自定义过滤器的实战技巧

过滤器链基本概念

Spring Security的本质是通过一系列过滤器（Filter） 组成的链条对请求进行安全处理。这些过滤器按预定顺序执行，共同完成认证（Authentication）、授权（Authorization）、攻击防护等功能。

核心组件包括：

• FilterChainProxy：过滤器链的入口点，负责管理和调度过滤器链
• SecurityFilterChain：定义请求匹配规则与对应过滤器集合
• Filter：具体安全逻辑实现，如UsernamePasswordAuthenticationFilter处理表单登录

关键源码位于FilterChainProxy.java，其核心作用是将请求路由到匹配的过滤器链：

private void doFilterInternal(ServletRequest request, ServletResponse response, FilterChain chain) {
    FirewalledRequest firewallRequest = this.firewall.getFirewalledRequest((HttpServletRequest) request);
    List<Filter> filters = getFilters(firewallRequest); // 获取匹配的过滤器列表
    if (filters == null || filters.isEmpty()) {
        chain.doFilter(firewallRequest, firewallResponse); // 无匹配过滤器直接放行
        return;
    }
    // 执行过滤器链
    this.filterChainDecorator.decorate(reset, filters).doFilter(firewallRequest, firewallResponse);
}

过滤器链配置方式

Spring Security提供了多种灵活的配置方式，适应不同开发场景：

1. Java配置方式（推荐）

通过@Configuration类配置，使用HttpSecurity构建器定义过滤器链：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/public/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(withDefaults())
            .logout(withDefaults());
        return http.build();
    }
}

核心配置类位于HttpSecurityConfiguration.java，通过SecurityConfigurerAdapter实现配置逻辑。

2. XML配置方式

传统XML配置适合遗留项目，通过<http>标签定义过滤器链：

<security:http>
    <security:intercept-url pattern="/public/**" access="permitAll"/>
    <security:intercept-url pattern="/**" access="authenticated"/>
    <security:form-login/>
    <security:logout/>
</security:http>

3. 编程式配置方式

直接构造SecurityFilterChain实例，适合复杂场景：

@Bean
public SecurityFilterChain apiFilterChain(HttpSecurity http) throws Exception {
    return http
        .securityMatcher("/api/**")
        .authorizeHttpRequests(auth -> auth
            .anyRequest().hasRole("API_USER")
        )
        .addFilterBefore(new ApiKeyFilter(), UsernamePasswordAuthenticationFilter.class)
        .build();
}

三种配置方式对比：

配置方式	优势	适用场景
Java配置	类型安全、灵活	新项目、复杂配置
XML配置	简洁、易于理解	遗留项目、简单配置
编程式配置	高度定制化	特殊安全需求

过滤器链执行流程

过滤器链的执行遵循"责任链模式"，每个过滤器完成特定安全任务后决定是否将请求传递给下一个过滤器。

标准执行流程

关键步骤解析：

1. 请求预处理：HttpFirewall对请求进行安全检查，防止恶意请求（如路径遍历攻击）

2. 链匹配：根据请求路径和方法匹配对应的SecurityFilterChain

3. 过滤器执行：按顺序执行过滤器列表，核心过滤器包括：

   • UsernamePasswordAuthenticationFilter：处理表单登录
   • BasicAuthenticationFilter：处理HTTP Basic认证
   • FilterSecurityInterceptor：进行最终授权决策

4. 资源访问：所有过滤器执行完毕后访问目标资源

5. 响应处理：将处理结果返回客户端

源码级执行逻辑

在FilterChainProxy的doFilter方法中，通过VirtualFilterChain实现过滤器的依次调用：

private static final class VirtualFilterChain implements FilterChain {
    private final List<Filter> additionalFilters;
    private int currentPosition = 0;

    @Override
    public void doFilter(ServletRequest request, ServletResponse response) {
        if (this.currentPosition == this.size) {
            this.originalChain.doFilter(request, response); // 所有过滤器执行完毕
            return;
        }
        this.currentPosition++;
        Filter nextFilter = this.additionalFilters.get(this.currentPosition - 1);
        nextFilter.doFilter(request, response, this); // 执行下一个过滤器
    }
}

实战：自定义过滤器

掌握过滤器链原理后，我们可以通过自定义过滤器扩展Spring Security功能。

自定义IP黑名单过滤器

public class IpBlacklistFilter extends OncePerRequestFilter {
    private final Set<String> blacklistedIps;
    
    public IpBlacklistFilter(Set<String> blacklistedIps) {
        this.blacklistedIps = blacklistedIps;
    }
    
    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                   HttpServletResponse response, 
                                   FilterChain filterChain) throws ServletException, IOException {
        String clientIp = request.getRemoteAddr();
        if (blacklistedIps.contains(clientIp)) {
            response.setStatus(HttpServletResponse.SC_FORBIDDEN);
            response.getWriter().write("Access denied: IP is blacklisted");
            return;
        }
        filterChain.doFilter(request, response); // 放行合法IP
    }
}

在过滤器链中注册

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .addFilterBefore(new IpBlacklistFilter(Set.of("192.168.1.100")), 
                        UsernamePasswordAuthenticationFilter.class)
        .authorizeHttpRequests(auth -> auth
            .anyRequest().authenticated()
        )
        .formLogin(withDefaults())
        .build();
}

过滤器注册位置说明：

• addFilterBefore(filter, beforeFilter)：在指定过滤器前添加
• addFilterAfter(filter, afterFilter)：在指定过滤器后添加
• addFilterAt(filter, atFilter)：替换指定过滤器

常见问题与解决方案

过滤器顺序问题

问题：自定义过滤器不执行或执行顺序错误
解决：使用@Order注解或HttpSecurity的addFilter*方法明确定义顺序

多过滤器链冲突

问题：多个SecurityFilterChain匹配同一请求
解决：使用securityMatcher缩小匹配范围，确保链的唯一性

@Bean
public SecurityFilterChain apiFilterChain(HttpSecurity http) throws Exception {
    return http
        .securityMatcher("/api/**") // 仅匹配/api/**路径
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
        .build();
}

性能优化建议

1. 减少过滤器数量：只保留必要过滤器，使用securityMatcher精准匹配
2. 异步处理：对耗时操作使用异步过滤器
3. 缓存认证结果：使用RememberMeAuthenticationFilter减少重复认证

总结与展望

Spring Security过滤器链通过灵活的配置和有序的执行流程，为Web应用提供了强大的安全防护能力。理解其工作原理不仅能帮助我们解决日常开发问题，更能定制出满足特定需求的安全方案。

随着Spring生态的发展，过滤器链机制也在不断进化，如响应式编程支持、原生镜像适配等新特性，使得Spring Security在云原生时代依然保持领先地位。

掌握过滤器链原理，是每个Spring开发者提升安全开发能力的关键一步。建议结合官方文档和源码进一步深入学习，打造更安全的Web应用。

欢迎点赞收藏本文，关注作者获取更多Spring Security深度解析！

【免费下载链接】spring-security Spring Security 项目地址: https://gitcode.com/gh_mirrors/spr/spring-security