Spring Security过滤器链中自定义过滤器的实现与应用

原创

于 2025-05-28 07:28:19 发布 · 1.2k 阅读

14 ·

CC 4.0 BY-SA版权

文章标签：

#spring #java #后端

过滤器链中的定位替换机制

在Spring Security框架中，addFilterAt()方法提供了在过滤器链特定位置插入自定义过滤器的能力。这种机制常用于替换框架默认提供的安全过滤器实现，特别是在需要定制认证流程的场景下。

替换默认认证过滤器的典型场景

当需要替代Spring Security已知过滤器的功能实现时，定位替换机制尤为实用。以HTTP Basic认证为例，若开发者需要实现以下替代方案时：

静态头值认证：客户端在HTTP请求头中携带固定字符串，服务端通过比对预存值进行身份验证。这种方案虽然安全性较弱，但在后端服务间调用场景中因实现简单、执行高效而被广泛采用。
对称密钥签名认证：客户端和服务端共享密钥，客户端使用该密钥对请求部分内容（如特定头字段）进行签名，服务端使用相同密钥验证签名有效性。密钥可存储在数据库或密钥库中，每个客户端可配置独立密钥。
动态口令认证(OTP)：用户通过短信或认证应用（如Google Authenticator）获取一次性密码完成认证，通常用于需要多因素认证的登录流程。

静态密钥认证实现示例

以下是通过StaticKeyAuthenticationFilter替换基础认证过滤器的完整实现：

@Component
public class StaticKeyAuthenticationFilter implements Filter {
   
   
    
    @Value("${authorization.key}")
    private String authorizationKey;

    @Override
    public void doFilter(ServletRequest request, 
                         ServletResponse response, 
                         FilterChain chain) 
        throws IOException, ServletException {
   
   
        
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        
        String authHeader = httpRequest.getHeader("Authorization");
        
        if (authorizationKey.equals(authHeader)) {
   
   
            chain.doFilter(request, response);
        } else {
   
   
            httpResponse.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        }
    }
}

配置类中通过addFilterAt()方法将自定义过滤器定位到基础认证过滤器位置：

@Configuration
public class ProjectConfig {
   
   
    
    private final StaticKeyAuthenticationFilter filter;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
   
   
        http.addFilterAt(filter, BasicAuthenticationFilter.class)
            .authorizeRequests(c -> c.anyRequest().permitAll());
        return http.build();
    }
}

关键实现注意事项

多过滤器定位问题：当多个过滤器被添加到同一位置时，Spring Security不保证其执行顺序。建议避免在同一位置注册多个过滤器，以确保行为可预测。
生产环境安全：示例中将密钥存储在application.properties仅适用于演示环境，实际生产环境应使用密钥管理系统存储敏感信息。
用户上下文处理：当认证不涉及用户概念时，可通过排除自动配置禁用UserDetailsService：

@SpringBootApplication(exclude = UserDetailsServiceAutoConfiguration.class)

Spring Security提供的过滤器基类

除直接实现Filter接口外，框架还提供以下增强型基类：

GenericFilterBean：支持通过web.xml配置初始化参数
OncePerRequestFilter：确保每个请求仅执行一次过滤逻辑，特别适合日志记录等场景

以下是改进后的认证日志过滤器实现：

public class AuthenticationLoggingFilter extends OncePerRequestFilter {
   
   
    
    private final Logger logger = Logger.getLogger(getClass().getName());

    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                   HttpServletResponse response,
                                   FilterChain chain) throws IOException, ServletException {
   
   
        
        String requestId = request.getHeader("Request-Id");
        logger.info("Authenticated request with id: " + requestId