Spring靴中的过滤器顺序

Question

如何在Spring启动中指定过滤器的顺序？我需要在Spring Security过滤器之后插入我的MDC过滤器。我几乎尝试了一切，但我的过滤器总是第一位的。这不起作用：

@Bean
@Order(Ordered.LOWEST_PRECEDENCE)
public UserInsertingMdcFilter userInsertingMdcFilter() {
    return new UserInsertingMdcFilter();
}

这也不管用：

@Bean
public FilterRegistrationBean userInsertingMdcFilterRegistrationBean() {
    FilterRegistrationBean registrationBean = new FilterRegistrationBean();
    UserInsertingMdcFilter userFilter = new UserInsertingMdcFilter();
    registrationBean.setFilter(userFilter);
    registrationBean.setOrder(Integer.MAX_VALUE);
    return registrationBean;
}

Answer 1

这里有一个与Spring Boot 2/Spring Security 5兼容的答案，它允许您将过滤器插入过滤器链中的任意位置。

我的用例是一个定制的日志javax。servlet。我想在任何Spring Security过滤器之前执行的过滤器；但是，以下步骤应允许您将过滤器放置在现有Spring过滤器链中的任何位置：

将您最喜欢的远程调试器连接到您的应用程序，并在FilterChainProxy的doFilter（Servlet请求，Servlet响应）方法中设置断点org.springframework.security.web.FilterChainProxy。截至Spring Security 5.1.6，即第311行。在调试器中，通过检查this.additionalFilters找出现有的过滤器。在我的申请中，顺序是这样的：

0: WebAsyncManagerIntegrationFilter
1: SecurityContextPersistenceFilter
2: HeaderWriterFilter
...

您可能已经有了一个带有@Override-configure（HttpSecurity-http）方法的websecurity配置适配器HttpSecurity公开addFilterBefore和addFilterAfter方法，允许您相对于链中的现有类放置筛选器。您的筛选器（实例）是这些方法的第一个参数，您希望在其之前或之后插入的筛选器类是第二个参数。

在我的例子中，我希望我的自定义日志过滤器是链中的第一个（我的代码片段是Kotlin，我将把Java实现留给您）：

override fun configure(http: HttpSecurity) {
    http
        .addFilterBefore(MyCustomLoggingFilter(), WebAsyncManagerIntegrationFilter::class.java)
        .authorizeRequests()
        .antMatchers(
        ...
        )
}

使用上面步骤1中描述的调试方法验证您的过滤器是否在过滤器链中的预期位置。

希望这能帮助到其他人。

Answer 2

这在Spring Boot 1.2中已修复。安全链现在默认为订单0。

它也可以通过属性设置：

security.filter-order=0 # Security filter chain order.

https://github.com/spring-projects/spring-boot/issues/1640

Answer 3

Spring的人又帮忙了。看https://github.com/spring-projects/spring-boot/issues/1640https://jira.spring.io/browse/SEC-2730

SpringSecurity不会对它创建的过滤器bean设置顺序。这意味着，当Boot为其创建FilterRegistrationBean时，它将获得最低优先级的默认顺序。

如果您希望自己的过滤器符合Spring Security的要求，您可以为Spring Security的过滤器创建自己的注册并指定顺序。

所以我问题的答案是：

@Bean
public FilterRegistrationBean securityFilterChain(@Qualifier(AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME) Filter securityFilter) {
    FilterRegistrationBean registration = new FilterRegistrationBean(securityFilter);
    registration.setOrder(Integer.MAX_VALUE - 1);
    registration.setName(AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME);
    return registration;
}

@Bean
public FilterRegistrationBean userInsertingMdcFilterRegistrationBean() {
    FilterRegistrationBean registrationBean = new FilterRegistrationBean();
    UserInsertingMdcFilter userFilter = new UserInsertingMdcFilter();
    registrationBean.setFilter(userFilter);
    registrationBean.setOrder(Integer.MAX_VALUE);
    return registrationBean;
}