别再乱写Filter和Interceptor了SpringBoot登录校验实战精要登录校验是每个JavaWeb开发者必须掌握的核心技能但很多人在实际项目中常常陷入技术选型的困惑——Filter和Interceptor究竟该如何选择如何避免常见的配置陷阱本文将带你从零构建一套完整的JWT登录校验体系涵盖令牌生成、统一拦截、异常处理全流程并深度解析Filter与Interceptor的适用场景与最佳实践。1. 技术选型Filter vs Interceptor的本质差异1.1 架构层级与执行顺序Filter和Interceptor最根本的区别在于它们的架构层级// Filter属于Servlet规范 public class AuthFilter implements Filter { Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { // 预处理逻辑 chain.doFilter(request, response); // 放行 // 后处理逻辑 } } // Interceptor属于Spring MVC框架 public class AuthInterceptor implements HandlerInterceptor { Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) { // 控制器方法执行前处理 return true; // 是否继续执行 } }它们的执行顺序遵循以下管道以典型请求为例Filter层CharacterEncodingFilter→CorsFilter→自定义AuthFilterDispatcherServlet路由匹配Interceptor层LogInterceptor→AuthInterceptorController方法业务逻辑处理关键提示Filter对所有请求生效包括静态资源而Interceptor只拦截Controller方法调用1.2 核心能力对比通过下表可以清晰看出两者的适用场景特性FilterInterceptor依赖框架Servlet规范JavaWeb标准Spring MVC框架作用范围所有HTTP请求仅Controller方法调用获取上下文Servlet API原生对象HandlerMethod参数解析异常处理需自行实现可结合ExceptionHandler性能开销较低略高需经过Spring上下文典型应用场景跨域处理、字符编码、全局认证权限校验、日志记录、参数预处理1.3 经典误用场景分析案例1路径匹配陷阱// 错误配置Interceptor使用Servlet路径模式 registry.addInterceptor(authInterceptor) .addPathPatterns(/api/*); // 无法匹配/api/users/1 // 正确做法使用Ant风格路径 registry.addInterceptor(authInterceptor) .addPathPatterns(/api/**);案例2注解扫描遗漏// 忘记添加扫描注解导致Filter失效 SpringBootApplication ServletComponentScan // 必须添加 public class Application { public static void main(String[] args) { SpringApplication.run(Application.class, args); } }2. JWT令牌生成与校验实战2.1 令牌生成最佳实践采用JJWT库实现安全的令牌签发public class JwtUtils { private static final String SECRET_KEY your-256-bit-secret; private static final long EXPIRATION 86400000; // 24小时 public static String generateToken(UserDetails user) { return Jwts.builder() .setSubject(user.getUsername()) .claim(roles, user.getAuthorities()) .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() EXPIRATION)) .signWith(SignatureAlgorithm.HS256, SECRET_KEY) .compact(); } }安全要点使用HS256算法配合足够长度的密钥设置合理的过期时间建议≤24小时不要在令牌中存储敏感信息如密码2.2 统一校验架构设计推荐采用FilterInterceptor双校验的混合模式Filter层基础校验令牌存在性、格式验证Interceptor层细粒度权限控制角色校验、权限匹配// Filter基础校验示例 public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { HttpServletRequest request (HttpServletRequest) req; String token request.getHeader(Authorization); if (token null || !token.startsWith(Bearer )) { sendError(response, 401, Missing token); return; } try { Claims claims JwtUtils.parseToken(token.substring(7)); request.setAttribute(userClaims, claims); chain.doFilter(request, response); } catch (JwtException e) { sendError(response, 403, Invalid token); } }3. 异常处理与响应封装3.1 全局异常处理机制建立统一的错误响应体系RestControllerAdvice public class GlobalExceptionHandler { ExceptionHandler(AuthenticationException.class) public ResponseEntityErrorResponse handleAuthError(AuthenticationException ex) { return ResponseEntity.status(401) .body(new ErrorResponse(401, AUTH_ERROR, ex.getMessage())); } ExceptionHandler(MethodArgumentNotValidException.class) public ResponseEntityErrorResponse handleValidationError( MethodArgumentNotValidException ex) { String message ex.getBindingResult().getAllErrors() .stream().map(DefaultMessageSourceResolvable::getDefaultMessage) .collect(Collectors.joining(; )); return ResponseEntity.status(400) .body(new ErrorResponse(400, VALIDATION_ERROR, message)); } }3.2 响应体标准化定义通用响应结构public class ApiResponseT { private int code; private String message; private T data; private long timestamp System.currentTimeMillis(); // 成功响应快捷方法 public static T ApiResponseT success(T data) { ApiResponseT response new ApiResponse(); response.code 200; response.message success; response.data data; return response; } }4. 性能优化与安全加固4.1 缓存令牌校验结果避免重复解析JWT带来的性能开销Cacheable(value tokenCache, key #token) public Claims validateAndCacheToken(String token) { return Jwts.parser() .setSigningKey(SECRET_KEY) .parseClaimsJws(token) .getBody(); }4.2 安全防护措施CSRF防护对关键操作添加随机Token校验防重放攻击在JWT中加入jtiJWT ID和nonce速率限制对登录接口实施限流如Guava RateLimiter// 限流器配置示例 Bean public RateLimiter loginRateLimiter() { return RateLimiter.create(5); // 每秒5个请求 } PostMapping(/login) public ApiResponseString login(RequestBody LoginRequest request) { if (!loginRateLimiter.tryAcquire()) { throw new RateLimitException(Too many requests); } // ...正常登录逻辑 }5. 现代替代方案Spring Security整合对于复杂系统建议采用Spring Security JWT组合方案EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { Override protected void configure(HttpSecurity http) throws Exception { http.csrf().disable() .authorizeRequests() .antMatchers(/auth/**).permitAll() .anyRequest().authenticated() .and() .addFilter(new JwtAuthenticationFilter(authenticationManager())) .addFilter(new JwtAuthorizationFilter(authenticationManager())) .sessionManagement() .sessionCreationPolicy(SessionCreationPolicy.STATELESS); } }迁移路径建议从简单Filter/Interceptor开始原型开发随着业务复杂度的提升逐步引入Spring Security关键路径保持双重校验机制登录校验系统的设计需要根据实际业务场景灵活调整。在最近的一个教育管理系统项目中我们采用Filter处理基础认证Interceptor实现权限控制的混合模式配合Redis缓存令牌信息使系统在日均10万次请求下保持50ms的认证延迟。记住没有放之四海而皆准的方案只有最适合当前业务阶段的技术选型。
