WebFilter bean在安全的Spring Boot Webflux应用程序中调用了两次

Question

我使用Spring Boot 2.1. x与网络流量和安全性。我定义了一些类型的bean，它们被添加到MatcherSecurityWebFilterChain中。问题是，因为它们被定义为bean，所以它们也被添加在过滤链的末端，所以它们被执行两次。

对于Servlet应用程序，我们可以使用FilterAuthstrationBean来避免这种情况：

@Bean
    fun someFilterRegistrationBean() {
        val frb = FilterRegistrationBean(xxx)
        frb.setEnabled(false)
        return frb
    }

对于反应性应用程序，什么是等效的？

Answer 1

在本例中，我必须执行存储在TestGatewayFilter中的自定义逻辑，以修改SecurityWebFilterChain中最后的ServerWebExchange对象。如果我们创建TestGatewayFilter的bean并让spring处理它，我们会发现每个请求调用两次过滤器逻辑
我进行了研究，但没有找到在SpringWebFlux安全性中定义FilterRegistrationBean的方法，但在调试时发现了一种不同的方法作为一种解决方法，我创建了SecurityWebFilterChain的一个自定义bean，并在链的末尾注入了过滤器。为了防止spring两次注入这个过滤器，我们删除了创建它的bean的逻辑。现在，每个请求调用一次过滤器逻辑。

public class TestGatewayFilter implements WebFilter {
    @Override
    public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
        // To-Do logic
    }
}

@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http.addFilterAfter(new TestGatewayFilter(), SecurityWebFiltersOrder.AUTHORIZATION)
            .authorizeExchange()
            .anyExchange().authenticated();
    return http.build();
}

ServerHttpSecurity类提供了2种方法来添加一个过滤器在另一个过滤器之前或在链中的特定位置。它们采用与addFilterAfter（）方法相同的参数集，并且可以以类似的方式使用：

addFilterBefore()
addFilterAt()

调试时，这是SecurityWebFilterChain中的过滤器执行顺序：

1. ServerWebExChangeReactorContextWebFilter
2. HttpHeaderWriterWebFilter
3. CorsWebFilter
4. ReactorContextWebFilter
5. 身份验证WebFilter
6. SecurityContextServerWebExChangeWebFilter
7. 服务器请求CacheWebFilter
8. LogoutWebFilter
9. ExceptionTranslationWebFilter
10. AuthorizationWebFilter
11. TestGatewayFilter