使用Spring Security控制Spring Boot应用程序中非安全过滤器的顺序

Question

这里是Java Spring Boot。我正在构建一个RESTful web服务，它使用Spring Security进行身份验证/授权。

Spring Security附带了大量自己灵活且可配置的过滤器。但是，我的服务需要定义几个自己的筛选器：

• 它们与安全性完全无关，因此不需要在Spring Security的API中进行任何配置；和
• 我确实希望在Spring Security已经允许通过其自己的所有安全过滤器请求后调用它们；这意味着这些“非安全”过滤器只有在Spring Security提前允许请求通过时才会被调用

我看到这个答案以及这个答案，但这两个都涉及配置其他自定义安全过滤器以与Spring Security的内置过滤器一起使用。如何配置Spring Boot以“定位”我的非安全过滤器“之后”（在过滤器链的更下方）从Spring Security？一旦我这样做，我该如何控制这些过滤器的顺序？

Answer 1

您可以使用@Order注释设置过滤器的顺序。它有默认值< code>Integer。MAX_VALUE这样，您的过滤器将最后执行(较低的值具有较高的优先级)。这里有一个例子:

@Order
@Component
public class TestFilter implements Filter {
    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        filterChain.doFilter(servletRequest, servletResponse);
    }
}

Spring Security是一个单独的物理< code >过滤器,但是将处理委托给一系列内部过滤器，例如:SecurityContextPersistenceFilter、RememberMeAuthenticationFilter、AnonymousAuthenticationFilter等。安全过滤器安装在由SecurityProperties定义的位置。DEFAULT_FILTER_ORDER设置为< code>-100。因此，任何阶数高于< code>-100的过滤器都将在FilterChainProxy(Spring Security过滤器的具体类)之后执行

例如：

@Order(SecurityProperties.DEFAULT_FILTER_ORDER-1)
@Component
public class BeforeSecurityFilter implements Filter

将在安全过滤器之前执行，并且：

@Order(SecurityProperties.DEFAULT_FILTER_ORDER+1)
@Component
public class AfterSecurityFilter implements Filter

将在安全过滤器之后执行