使用 Spring Security 控制 Spring Boot 应用程序中非安全过滤器的顺序

Question

Java + Spring Boot 在这里。我正在构建一个使用 Spring Security 进行身份验证/授权的 RESTful Web 服务。

Spring Security 附带了大量自己的灵活且可配置的过滤器。但是，我的服务需要定义几个自己的过滤器：

• 它们与安全性完全无关，因此不需要在 Spring Security 的 API 中进行任何配置；和
• 我确实希望在 Spring Security 已经允许请求通过其所有自己的安全过滤器之后调用它们；这意味着这些“非安全”过滤器只有在 Spring Security 提前允许请求通过时才会被调用

我看到了this answer 和this one，但它们都涉及配置其他自定义安全过滤器以与 Spring Security 的内置过滤器一起使用。如何将 Spring Boot 配置为从 Spring Security“定位”我的非安全过滤器“之后”（在过滤器链的下方）？一旦我这样做了，我该如何控制这些过滤器的顺序？

Answer 1

您可以使用@Order 注释设置过滤器的顺序。它具有默认值Integer.MAX_VALUE 这样您的过滤器将最后执行（较低的值具有较高的优先级）。这是一个例子：

@Order
@Component
public class TestFilter implements Filter {
    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        filterChain.doFilter(servletRequest, servletResponse);
    }
}

Spring Security 是单个物理Filter，但将处理委托给一系列内部过滤器，例如：SecurityContextPersistenceFilter、RememberMeAuthenticationFilter、AnonymousAuthenticationFilter 等。安全过滤器安装在由SecurityProperties.DEFAULT_FILTER_ORDER 定义的位置，该位置设置为@ 987654326@。所以任何阶数大于100的过滤器都会在FilterChainProxy（spring安全过滤器的具体类）之后执行

例如：

@Order(SecurityProperties.DEFAULT_FILTER_ORDER-1)
@Component
public class BeforeSecurityFilter implements Filter

将在安全过滤器之前执行并且：

@Order(SecurityProperties.DEFAULT_FILTER_ORDER+1)
@Component
public class AfterSecurityFilter implements Filter

将在安全过滤后执行