SpringSecurity - 启动流程分析（十一）- 过滤器的执行顺序

最新推荐文章于 2025-03-25 06:00:00 发布
最新推荐文章于 2025-03-25 06:00:00 发布
阅读量2.1k 收藏 2
点赞数 1
分类专栏： # SpringSecurity 学习 文章标签： SpringSecurity
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qiaohao0206/article/details/126489334
版权
本文详细解析了SpringSecurity中过滤器的执行顺序设定过程，包括默认过滤器和自定义过滤器的添加方式，以及FilterOrderRegistration类如何记录过滤器顺序。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

前言

经过前面十篇文章的流程分析，我们也了解了 SpringSecurity 的初始化流程和几种比较重要的过滤器。这里简单总结一下：

在这篇文章中，我们就来看一下 SpringSecurity 是如何设置这些 Filter 的执行顺序的

分析

在 SpringSecurity - 启动流程分析（八）- CsrfFilter 过滤器 和 SpringSecurity - 启动流程分析（九）- CorsFilter 过滤器 中，我们知道默认的 Filter 是通过 HttpSecurity 中的特定方法添加的，比如：

public CorsConfigurer<HttpSecurity> cors() throws Exception {
	return getOrApply(new CorsConfigurer<>());
}

public CsrfConfigurer<HttpSecurity> csrf() throws Exception {
	ApplicationContext context = getContext();
	return getOrApply(new CsrfConfigurer<>(context));
}

而自定义的 Filter 则可以通过 addFilter() 等方法添加：

@Override
public HttpSecurity addFilterAfter(Filter filter, Class<? extends Filter> afterFilter) {
	return addFilterAtOffsetOf(filter, 1, afterFilter);
}

@Override
public HttpSecurity addFilterBefore(Filter filter, Class<? extends Filter> beforeFilter) {
	return addFilterAtOffsetOf(filter, -1, beforeFilter);
}

private HttpSecurity addFilterAtOffsetOf(Filter filter, int offset, Class<? extends Filter> registeredFilter) {
	int order = this.filterOrders.getOrder(registeredFilter) + offset;
	this.filters.add(new OrderedFilter(filter, order));
	this.filterOrders.put(filter.getClass(), order);
	return this;
}

@Override
public HttpSecurity addFilter(Filter filter) {
	Integer order = this.filterOrders.getOrder(filter.getClass());
	if (order == null) {
		throw new IllegalArgumentException("The Filter class " + filter.getClass().getName()
				+ " does not have a registered order and cannot be added without a specified order. Consider using addFilterBefore or addFilterAfter instead.");
	}
	this.filters.add(new OrderedFilter(filter, order));
	return this;
}

public HttpSecurity addFilterAt(Filter filter, Class<? extends Filter> atFilter) {
	return addFilterAtOffsetOf(filter, 0, atFilter);
}

而那些默认的过滤器，其实也是通过 addFilter() 方法添加的，所以我们接下来主要看一下 HttpSecurity 的 addFilter() 方法

// HttpSecurity 被创建的时候，会初始化 FilterOrderRegistration
private FilterOrderRegistration filterOrders = new FilterOrderRegistration();
// 存放了所有的 Filter
private List<OrderedFilter> filters = new ArrayList<>();

// 这个方法用于 HttpSecurity 添加默认的过滤器
@Override
public HttpSecurity addFilter(Filter filter) {
	Integer order = this.filterOrders.getOrder(filter.getClass());
	if (order == null) {
		throw new IllegalArgumentException("The Filter class " + filter.getClass().getName()
				+ " does not have a registered order and cannot be added without a specified order. Consider using addFilterBefore or addFilterAfter instead.");
	}
	this.filters.add(new OrderedFilter(filter, order));
	return this;
}

// 上面的其他几个方法用于添加自定义的过滤器，比如 addFilterAt、addFilterBefore

关于 FilterOrderRegistration，这个类其实就是为了记录 Filter 的类名和顺序：

final class FilterOrderRegistration {
	// 初始顺序
	private static final int INITIAL_ORDER = 100;
	// 顺序步长
	private static final int ORDER_STEP = 100;
	// 以类名为key存放过滤器的顺序
	private final Map<String, Integer> filterToOrder = new HashMap<>();

	// 构造器中初始胡默认的过滤器顺序
	FilterOrderRegistration() {
		Step order = new Step(INITIAL_ORDER, ORDER_STEP);
		put(DisableEncodeUrlFilter.class, order.next());
		put(ForceEagerSessionCreationFilter.class, order.next());
		put(ChannelProcessingFilter.class, order.next());
		order.next(); // gh-8105
		put(WebAsyncManagerIntegrationFilter.class, order.next());
		put(SecurityContextHolderFilter.class, order.next());
		put(SecurityContextPersistenceFilter.class, order.next());
		put(HeaderWriterFilter.class, order.next());
		put(CorsFilter.class, order.next());
		put(CsrfFilter.class, order.next());
		put(LogoutFilter.class, order.next());
		this.filterToOrder.put(
				"org.springframework.security.oauth2.client.web.OAuth2AuthorizationRequestRedirectFilter",
				order.next());
		this.filterToOrder.put(
				"org.springframework.security.saml2.provider.service.servlet.filter.Saml2WebSsoAuthenticationRequestFilter",
				order.next());
		put(X509AuthenticationFilter.class, order.next());
		put(AbstractPreAuthenticatedProcessingFilter.class, order.next());
		this.filterToOrder.put("org.springframework.security.cas.web.CasAuthenticationFilter", order.next());
		this.filterToOrder.put("org.springframework.security.oauth2.client.web.OAuth2LoginAuthenticationFilter",
				order.next());
		this.filterToOrder.put(
				"org.springframework.security.saml2.provider.service.servlet.filter.Saml2WebSsoAuthenticationFilter",
				order.next());
		put(UsernamePasswordAuthenticationFilter.class, order.next());
		order.next(); // gh-8105
		this.filterToOrder.put("org.springframework.security.openid.OpenIDAuthenticationFilter", order.next());
		put(DefaultLoginPageGeneratingFilter.class, order.next());
		put(DefaultLogoutPageGeneratingFilter.class, order.next());
		put(ConcurrentSessionFilter.class, order.next());
		put(DigestAuthenticationFilter.class, order.next());
		this.filterToOrder.put(
				"org.springframework.security.oauth2.server.resource.web.BearerTokenAuthenticationFilter",
				order.next());
		put(BasicAuthenticationFilter.class, order.next());
		put(RequestCacheAwareFilter.class, order.next());
		put(SecurityContextHolderAwareRequestFilter.class, order.next());
		put(JaasApiIntegrationFilter.class, order.next());
		put(RememberMeAuthenticationFilter.class, order.next());
		put(AnonymousAuthenticationFilter.class, order.next());
		this.filterToOrder.put("org.springframework.security.oauth2.client.web.OAuth2AuthorizationCodeGrantFilter",
				order.next());
		put(SessionManagementFilter.class, order.next());
		put(ExceptionTranslationFilter.class, order.next());
		put(FilterSecurityInterceptor.class, order.next());
		put(AuthorizationFilter.class, order.next());
		put(SwitchUserFilter.class, order.next());
	}

	// 存放指定类的顺序，如果重复则直接返回
	void put(Class<? extends Filter> filter, int position) {
		String className = filter.getName();
		if (this.filterToOrder.containsKey(className)) {
			return;
		}
		this.filterToOrder.put(className, position);
	}

	// 获取指定类的顺序，如果为空，尝试获取父类的顺序
	Integer getOrder(Class<?> clazz) {
		while (clazz != null) {
			Integer result = this.filterToOrder.get(clazz.getName());
			if (result != null) {
				return result;
			}
			clazz = clazz.getSuperclass();
		}
		return null;
	}

	// 给定初始步数和步长，获取下一个步数
	private static class Step {

		private int value;

		private final int stepSize;

		Step(int initialValue, int stepSize) {
			this.value = initialValue;
			this.stepSize = stepSize;
		}

		int next() {
			int value = this.value;
			this.value += this.stepSize;
			return value;
		}

	}

}

OrderedFilter 是 HttpSecurity 的内部类，实现了 Ordered、Filter 接口：

private static final class OrderedFilter implements Ordered, Filter {

	private final Filter filter;

	private final int order;

	private OrderedFilter(Filter filter, int order) {
		this.filter = filter;
		this.order = order;
	}

	@Override
	public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain)
			throws IOException, ServletException {
		this.filter.doFilter(servletRequest, servletResponse, filterChain);
	}

	@Override
	public int getOrder() {
		return this.order;
	}

	@Override
	public String toString() {
		return "OrderedFilter{" + "filter=" + this.filter + ", order=" + this.order + '}';
	}

}

所有的 Filters 存储在 HttpSecurity 的 filters 属性中，最后由 performBuild() 方法封装为 DefaultSecurityFilterChain：

注意：这里我使用的是 spring-security-5.7.2 跟 spring-security-5.4.6 代码还是有些不同的，不过殊途同归，都是使用 Comparator 做比较，关于 Comparator 不理解的可以查看 Java - 浅析 Comparable 和 Comparator 这篇文章。

@Override
protected DefaultSecurityFilterChain performBuild() {
	ExpressionUrlAuthorizationConfigurer<?> expressionConfigurer = getConfigurer(
			ExpressionUrlAuthorizationConfigurer.class);
	AuthorizeHttpRequestsConfigurer<?> httpConfigurer = getConfigurer(AuthorizeHttpRequestsConfigurer.class);
	boolean oneConfigurerPresent = expressionConfigurer == null ^ httpConfigurer == null;
	Assert.state((expressionConfigurer == null && httpConfigurer == null) || oneConfigurerPresent,
			"authorizeHttpRequests cannot be used in conjunction with authorizeRequests. Please select just one.");
	// 排序
	this.filters.sort(OrderComparator.INSTANCE);
	// 排好序的 Filter
	List<Filter> sortedFilters = new ArrayList<>(this.filters.size());
	for (Filter filter : this.filters) {
		sortedFilters.add(((OrderedFilter) filter).filter);
	}
	return new DefaultSecurityFilterChain(this.requestMatcher, sortedFilters);
}

总结

以上就是 SpringSecurity 中 Filter 的顺序，经过前面的分析，逻辑还是很清晰的，不得不说，Spring 的代码，真是一环套一环，跟标准答案一样。

SpringSecurity6 | 核心过滤器
分享思想，留下痕迹。
11-08 1万+
大家好，我是Leo哥🫣🫣🫣，上一节我们通过源码剖析以及图文分析，了解了关于委派筛选器代理和过滤器链代理的原理和作用。这节课我们接着学习SpringSecurity的过滤器，了解SpringSecurity中都有哪些核心过滤器。好了，话不多说让我们开始吧😎😎😎。以上便是本文的全部内容，本人才疏学浅，文章有什么错误的地方，欢迎大佬们批评指正！我是Leo，一个在互联网行业的小白，立志成为更好的自己。如果你想了解更多关于Leo，可以关注公众号-程序员Leo，后面文章会首先同步至公众号。
Spring Security 6.x 系列【3】源码篇之基于过滤器的基本原理
记录知识、锤炼自我
03-27 3541
对Servlet的支持是基于过滤器的，在请求到达Servlet之前，通过过滤器进行认证授权校验，用户合法且有权限，放行通过，反之会跳转到登录页或拒绝访问。所以本篇文档主要介绍中过滤器的相关知识。类比JAVA Web中的过滤器中的过滤器进行了各种代理和增强，可以简单理解Security中的过滤器请求到（代理过滤器）调用（过滤器链代理）根据请求，调用匹配的Security中的过滤器链）中的多个有序的Security过滤器对请求进行处理，检验是否登录、是否授权… 并做出相应处理。
SpringSecurity过滤器顺序
海贼懒懒
07-30 1万+
官网地址 官网定义的关键过滤器顺序： 源码里所有的过滤器顺序： 默认情况会启动以下过滤器： （默认设置在：WebSecurityConfigurerAdapter 的 getHttp()方法里） 怎么替换默认的过滤器： http.addFilterAt() 不能替换默认的过滤器，只是在相同的位置放置一个过滤器，原本的过滤器仍然起作用 可以disa...
过滤器Filter的使用，filter优先于springsecurity执行
qq_36741679的博客
05-28 3496
场景： springboot项目整合了springSecurity，所有的controller接口都需要认证通过才能访问。 现在需要对接第三方接口，接收第三方推送的数据。然而第三方推送接口的数据是固定的，不能传认证信息。 在这样的情况下，我们如何接收第三方推送的数据？ （注： springSecurity的相关配置不能改动） 方案一： 另外构建一个项目，专门接收第三方数据。 方案二： 在原项目中添加过滤器，先执行该过滤器后执行springSecurity认证，在过...
SpringSecurity过滤器链：核心过滤器的执行顺序与职责
最新发布
程序媛学姐的博客
03-25 826
Spring Security的过滤器链是基于Servlet规范的Filter接口实现的，通过DelegatingFilterProxy与Spring的应用上下文集成。在Spring Security 5.4版本之前，过滤器链由FilterChainProxy管理，它包含一个或多个SecurityFilterChain，每个SecurityFilterChain包含多个Spring Security过滤器。
spring filter
李永
03-19 262
Table 2.1. Standard Filter Aliases and Ordering Alias Filter Class Namespace Element or Attribute CHANNEL_FILTER ChannelProcessingFilter http/intercept-url@requires-channel SECURIT...
【Spring Security】Spring Security 过滤器链执行顺序（FilterOrderRegistration类）
杜小舟的博客
01-03 1927
我相信有很多同学都对 Spring Security 过滤器链的执行顺序表示疑惑，在框架中 FilterOrderRegistration 担任声明控制过滤器的执行顺序，有时候我们可能会自定义一些过滤器链插入到我们想要的位置，那么这时候就需要明白过滤器链的执行顺序，废话不多说，直接上表格。
Spring Security核心Filter执行流程
cristianoxm的博客
04-01 2626
这文章主要用来分析Spring Security中的过滤器链包含了哪些关键的过滤器，并且各自的作用是什么。 一、 Filter顺序 Spring Security的官方文档向我们提供了filter的顺序，无论实际应用中你用到了哪些，整体的顺序是保持不变的: ChannelProcessingFilter，重定向到其他协议的过滤器。也就是说如果你访问的channel错了，那首先就会在channel之间进行跳转，如http变为https。 SecurityContextPersistenceFilter，请
Spring Security的内置过滤器是如何维护的
码农小胖哥
02-21 2577
2022年的开工福利已经发布，点击下面按钮获取最新PDF。Spring Security中的内置过滤器顺序是怎么维护的？我想很多开发者都对这个问题感兴趣。本篇我和大家一起探讨下这个问题。H...
spring cloud gateway过滤器及执行顺序
热门推荐
SuperBins的博客
09-19 1万+
一、图谱 在Spring-Cloud-Gateway之请求处理流程中最终网关是将请求交给过滤器链表进行处理。 核心接口：GatewayFilter（网关过滤器），GlobalFilter（全局过滤器），GatewayFilterChain（过滤器链）。 类关联图： 二、为什么使用网关过滤器 现在流行的微服务，整个项目包含很多个服务，如果没有网关这层，那么我们通过什么方式来限制访问呢？难道在每个服...
Spring Security 6.x 系列（11）—— Form表单认证和注销流程
gmHappy
12-18 8258
① 首先，用户向未授权的资源 /private 发出未经身份认证的请求。 ② Spring Security 的 AuthorizationFilter 抛出 AccessDeniedException 异常。 ③ 由于用户未经过身份验证，因此 ExceptionTranslationFilter 将启动“启动身份验证”，并使用配置的 AuthenticationEntryPoint 将重定向发送到登录页。 ④ 浏览器请求重定向到的登录页面。 ⑤ 呈现默认登录页面。
Spring Security-部分官方文档翻译以及思考-SecurityFilterChain
渡鸦的博客
07-10 844
Spring Security-部分官方文档翻译以及思考-SecurityFilterChain
Spring Security 4.2.10 过滤器顺序
weixin_34217711的博客
01-21 190
spring security 的版本为4.2.10。文档章节13.3。文档原文 无论是否使用这些过滤器，总的顺序如下： 顺序 名称 功能 1 ChannelProcessingFilter 可根据配置进行协议的重定向（HTTP与HTTPS） 2 SecurityContextPersistenceFilter 针对每个web请求开始时加载SecurityContext，并在w...
Spring Security所有过滤器及顺序
a807719447的专栏
09-22 5643
ChannelProcessingFilter 使用https还是http的通过过滤器 WebAsyncManagerIntegrationFilter 此过滤器使得WebAsync异步线程能够获取到当前认证信息 SecurityContextPersistenceFilter 主要控制 SecurityContext 的在一次请求中的生命周期，请求结束时清空，防止内存泄漏 HeaderWriterFilter 请求头过滤器 CorsFilter 跨域过滤器 CsrfFilter c..
Spring Security介绍（三）过滤器（2）自定义过滤器拦截器
w_t_y_y的博客
04-27 2278
Component@Slf4j@Overridelog.info("进入UrlFilter");@Component@Slf4j@Overridelog.info("进入UrlFilter-one");修改自定义的UrlFilter，修改为继承OncePerRequestFilter@Component@Slf4j@Overridelog.info("进入UrlFilter");
SpringSecurity详细执行流程
qq_52066082的博客
01-22 1899
SpringSecurity的执行流程超详细讲解，SpringSecurity两大功能认证、授权。
SpringSecurityOauth2中关于Oauth2的过滤器设计和SpringSecurity过滤器的设计以及他们的执行顺序
m0_54554770的博客
12-15 964
SpringSecurityOauth2中关于Oauth2的过滤器设计和SpringSecurity过滤器的设计以及他们的执行顺序
Spring Security 入门（1-6-2）Spring Security - 内置的filter顺序、自定义filter、http元素和对应的filterChain...
weixin_34393428的博客
06-16 338
Spring Security 的底层是通过一系列的 Filter 来管理的，每个 Filter 都有其自身的功能，而且各个 Filter 在功能上还有关联关系，所以它们的顺序也是非常重要的。 1、Spring Security的内置Filter 执行顺序 Spring Security 已经定义了一些 Filter，不管实际应用中你用到了哪些，它们应当保持如下顺序。 ChannelProces...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值