spring过滤器 spring过滤器怎么实现

大家在做系统的时候，一般做的个模块就是 认证与授权 模块，因为这是一个系统的入口，也是一个系统最重要最基础的一环，在认证与授权服务设计搭建好了之后，剩下的模块才得以安全访问。

市面上一般做认证授权的框架就是shiro和Spring Security，也有大部分公司选择自己研制。出于之前看过很多Spring Security的入门教程，但都觉得讲的不是太好，所以我这两天在自己鼓捣Spring Security的时候萌生了分享一下的想法，希望可以帮助到有兴趣的人。

Spring Security框架我们主要用它就是解决一个认证授权功能，所以我的文章主要会分为两部分：

我会为大家用一个Spring Security + JWT + 缓存的一个demo来展现我要讲的东西，毕竟脑子的东西要体现在具体事物上才可以更直观的让大家去了解去认识。

学习一件新事物的时候，我使用自顶向下的学习方法，这样可以更好的认识新事物，而不是盲人摸象。

想上手 Spring Security 一定要先了解它的工作流程，因为它不像工具包一样，拿来即用，必须要对它有一定的了解，再根据它的用法进行自定义作。

我们可以先来看看它的工作流程：

在Spring Security的文档上有这么一句话：

Spring Security 的web基础是Filters。

放到真实的Spring Security中，用文字表述的话可以这样说:

用表述的话可以这样画，这是我在百度找到的一张：

如上图，一个请求想要访问到API就会以从左到右的形式经过蓝线框框里面的过滤器，其中绿色部分是我们本篇主要讲的负责认证的过滤器，蓝色部分负责异常处理，橙色部分则是负责授权。

图中的这两个绿色过滤器我们今天不会去说，因为这是Spring Security对form表单认证和Basic认证内置的两个Filter，而我们的demo是JWT认证方式所以用不上。

如果你用过Spring Security就应该知道配置中有两个叫formLogin和Basic的配置项，在配置中打开了它俩就对应着打开了上面的过滤器。

换言之，你配置了这两种认证方式，过滤器链中才会加入它们，否则它们是不会被加到过滤器链中去的。

因为Spring Security自带的过滤器中是没有针对JWT这种认证方式的，所以我们的demo中会 写一个JWT的认证过滤器，然后放在绿色的位置进行认证工作。

知道了Spring Security的大致工作流程之后，我们还需要知道一些非常重要的概念也可以说是组件：

上下文对象，认证后的数据就放在这里面，接口定义如下：

这个接口里面只有两个方法，其主要作用就是get or set Authentication。

可以说是SecurityContext的工具类，用于get or set or clear SecurityContext，默认会把数据都存储到当前线程中。

这几个方法效果如下：

Authentication只是定义了一种在SpringSecurity进行认证过的数据的数据形式应该是怎么样的，要有权限，要有密码，要有身份信息，要有额外信息。

AuthenticationMar定义了一个认证方法，它将一个未认证的Authentication传入，返回一个已认证的Authentication，默认使用的实现类为：ProviderMar。

接下来大家可以构思一下如何将这四个部分，串联起来，构成Spring Security进行认证的流程：

3. 再通过SecurityContextHolder获取SecurityContext，

4. 将认证后的信息放入到SecurityContext。

真正开始讲诉我们的认证代码之前所以我们需要一个过滤器去拦截所有请求，前文我们也说过，这个过滤器我们会放在绿色部分用来替代UsernamePasswordAuthenticationFilter，所以我们新建一个JwtAuthenticationTokenFilter，然后将它注册为Bean，并在编写配置文件的时候需要加上这个：，我们首先需要导入必要的依赖，数据库相关的依赖可以自行选择什么JDBC框架，我这里用的是国人二次开发的myabtis-plus。

接着，我们需要定义几个必须的组件。

由于我用的Spring-Boot是2.X所以必须要我们自己定义一个加密器：

这个Bean是不必可少的，Spring Security在认证作时会使用我们定义的这个加密器，如果没有则会出现异常。

UserDetails 也是一个定义了数据形式的接口，用于保存我们从数据库中查出来的数据，其功能主要是验证账号状态和获取权限，具体实现可以查阅我仓库的代码。

有了前面的讲解之后，大家应该都知道用SpringSecurity做JWT认证需要我们自己写一个过滤器来做JWT的校验，然后将这个过滤器放到绿色部分。

在我们编写这个过滤器之前，我们还需要进行一个认证作，因为我们要先访问认证接口拿到token，才能把token放到请求头上，进行接下来请求。

如果你不太明白，不要紧，先接着往下看我会在这节结束再次梳理一下。

访问一个系统，一般访问的是认证方法，这里我写了最简略的认证需要的几个步骤，因为实际系统中我们还要写登录记录啊，前台密码解密啊这些作。

这里一共五个步骤，大概只有前四步是比较陌生的：

这样的话就算完成了，感觉上很简单，因为主要认证作都会由authenticationMar.authenticate()帮我们完成。

接下来我们可以看看源码，从中窥得Spring Security是如何帮我们做这个认证的（省略了一部分）：

看了源码之后你会发现和我们平常写的一样，其主要逻辑也是查数据库然后对比密码。

我们返回token之后，下次请求其他API的时候就要在请求头中带上这个token，都按照JWT的标准来做就可以。

有了token之后，我们要把过滤器放在过滤器链中，用于解析token，因为我们没有session，所以我们每次去辨别这是哪个用户的请求的时候，都是根据请求中的token来解析出来当前是哪个用户。

addFilterBefore的语义是添加一个Filter到XXXFilter之前，放在这里就是把JwtAuthenticationTokenFilter放在UsernamePasswordAuthenticationFilter之前，因为filter的执行也是有顺序的，我们必须要把我们的filter放在过滤器链中绿色的部分才会起到自动认证的效果。

接下来我们可以看看JwtAuthenticationTokenFilter的具体实现了：

代码里步骤虽然说的很详细了，但是可能因为代码过长不利于阅读，我还是简单说说，也可以直接去仓库查看源码：

完成之后，启动我们的demo，可以看到过滤器链中有以下过滤器，其中我们自定义的是第5个：

就酱，我们登录完了之后获取到的账号信息与角色信息我们都会放到缓存中，当带着token的请求来到时，我们就把它从缓存中拿出来，再次放到上下文对象中去。

结合认证方法，我们的逻辑链就变成了：

登录拿到token请求带上tokenJWT过滤器拦截校验token将从缓存中查出来的对象放到上下文中

这样之后，我们认证的逻辑就算完成了。

认证和JWT过滤器完成后，这个JWT的项目其实就可以跑起来了，可以实现我们想要的效果，如果想让程序更健壮，我们还需要再加一些辅助功能，让代码更友好。

当用户未登录或者token解析失败时会触发这个处理器，返回一个非法访问的结果。

当用户本身权限不满足所访问API需要的权限时，触发这个处理器，返回一个权限不足的结果。

用户退出一般就是清除掉上下文对象和缓存就行了，你也可以做一下附加作，这两步是必须的。

JWT的项目token刷新也是必不可少的，这里刷新token的主要方法放在了token工具类里面，刷新完了把缓存重载一遍就行了，因为缓存是有有效期的，重新put可以重置失效时间。

这篇文我从上周日就开始构思了，为了能讲的老妪能解，修修改改了几遍才发出来。

作者：和耳朵

链接：

（新手勿进，全是代码）@ComponentScan、@ComponentScans详解

这些问题如果都ok，恭喜你，太了，不知道没关系，一起来看看。

到目前为止，介绍了2种注册bean的方式：

为了更方便bean的注册，Spring提供了批量的方式注册bean，方便大量bean批量注册，spring中的@ComponentScan就是干这个事情的。

这个注解会让spring去扫描某些包及其子包中所有的类，然后将满足一定条件的类作为bean注册到spring容器容器中。

具体需要扫描哪些包？以及这些包中的类满足什么条件时被注册到容器中，这些都可以通过这个注解中的参数动态配置。

先来看一下这个注解的定义：

1. SprHttpServletRequest接口(重点)ing会扫描指定的包，且会递归下面子包，得到一批类的数组

2. 然后这些类会经过上面的各种过滤器，剩下的类会被注册到容器中

个：需要扫描哪些包？通过 value、backPackages、basePackageClasses 这3个参数来控制

第二：过滤器有哪些？通过 useDefaultFilters、includeFilters、excludeFilters 这3个参数来控制过滤器

这两个问题搞清楚了，就可以确定哪些类会被注册到容器中。

默认情况下，任何参数都不设置的情况下，此时，会将@ComponentScan修饰的类所在的包作为扫描包；默认情况下useDefaultFilters为true，这个为true的时候，spring容器内部会使用默认过滤器，规则是：凡是类上有 @Reitory、@Serv、@Controller、@Component 这几个注解中的任何一个的，那么这个类就会被作为bean注册到spring容器中，所以默认情况下，只需在类上加上这几个注解中的任何一个，这些类就会自动交给spring容器来管理了。

先说一下 @Component 这个注解，看一下其定义：

再来看看 @Reitory 源码如下：

其他两个注解 @Serv、@Controller 源码和 @Reitory 源码类似。

这4个注解本质上是没有任何别，都可以用在类上面，表示这个类被spring容器扫描的时候，可以作为一个bean组件注册到spring容器中。

spring提供这4个注解，是为了让系统更清晰，通常情况下，系统是分层结构的，多数系统一般分为controller层、serv层、dao层。

@controller通常用来标注controller层组件，@serv注解标注serv层的组件，@Reitory标注dao层的组件，这样可以让整个系统的结构更清晰，当看到这些注解的时候，会和清晰的知道属于哪个层，对于spring来说，将这3个注解替换成@Component注解，对系统没有任何影响，产生的效果是一样的。

下面通过案例来感受@ComponentScan各种用法。

上面几个类中，分别使用了4种注解。

部分输出如下：

指定需要扫毛哪些包，可以通过value或者basePackage来配置，二者选其一，都配置运行会报错，下面我们通过value来配置。

可以看出只有controller包和serv包中的2个类被注册为bean了。

指定包名的方式扫描存在的一个隐患，若包被重名了，会导致扫描会失效，一般情况下面我们使用basePackageClasses的方式来指定需要扫描的包，这个参数可以指定一些类型，默认会扫描这些类所在的包及其子包中所有的类，这种方式可以有效避免这种问题。

下面来看一下basePackageClasses的方式。

我们可以在需要扫描的包中定义一个标记的接口或者类，他们的的作用是作为basePackageClasses的值，其他没有任何用途。

再来看一下includeFilters这个参数的定义：

是一个 Filter 类型的数组， 多个Filter之间为或者关系，即满足任意一个就可以了 ，看一下 Filter 的代码：

下面的代码都在 com.jacode2018.lesson001.demo22.test3 包中。

ComponentScanTest中新增个测试用例

Serv1上标注了 @MyBean 注解，被注册到容器了，但是 Serv2 上没有标注 @MyBean 啊，怎么也被注册到容器了？

再次运行 test3 输出：

上面的自定义的@MyBean注解，是无法指定bean的名称的，可以对这个注解做一下改造，加个value参数来指定bean的名称，如下：

修改一下Serv1的代码：

运行test3用例输出：

此时bean名称就变成了 serv1Bean 。

下面的代码都位于 com.jacode2018.lesson001.demo22.test4 包中。

让spring来进行扫描，类型满足IServ的都将其注册到容器中。

ComponentScanTest中新增个测试用例

有时候我们需要用到自定义的过滤器，使用自定义过滤器的步骤：

是一个函数式接口，包含一个match方法，方法返回boolean类型，有2个参数，都是接口类型的，下面介绍一下这2个接口。

类元数据读取器，可以读取一个类上的任意信息，如类上面的注解信息、类的磁盘路径信息、类的class对象的各种信息，spring进行了封装，提供了各种方便使用的方法。

看一下这个接口的定义：

类元数据读取器工厂，可以通过这个类获取任意一个类的MetadataReader对象。

源码：

我们来个自定义的Filter，判断被扫描的类如果是 IServ 接口类型的，就让其注册到容器中。

来个自定义的TypeFilter类：

ComponentScanTest中新增个测试用例

配置排除的过滤器，满足这些过滤器的类不会被注册到容器中，用法上面和includeFilters用一样，这个我就不演示了，可以自己玩玩

从这个注解的定义上可以看出这个注解可以同时使用多个，如：

@CompontentScan注解是被下面这个类处理的

还有下面这些注解：

以上这些注解都是被ConfigurationClassPostProcessor这个类处理的，内部会递归处理这些注解，完成bean的注册。

以@CompontentScan来说一下过程，次扫描之后会得到一批需要注册的类，然后会对这些需要注册的类进行遍历，判断是否有上面任意一个注解，如果有，会将这个类交给ConfigurationClassPostProcessor继续处理，直到递归完成所有bean的注册。

想成为高手，这个类是必看的。

ja web 过滤器跟的区别和使用

1.是基于ja反射机制的，而过滤器是基于函数回调的。

2.过滤器依赖于servlet容器，而不依赖于servlet容器。

3.只对action起作用，而过滤器几乎可以对所有请求起作用。

4.拦截该类用于将二进制数据传送给客户端。其类中有print(),println()方法可以用来往客户端输出。器可以访问action上下文、值栈里的对象，而过滤器不能。

对于每个应用程序Servlet容器将会创建出一个ServletContext类型的对象，并一直存在知道应用程序不再发布在上。那么我们就可以使用该对象来保存一些变量，这些变量在整个应用程序生命周期内都存在。5.注 ：只涉及到用户认证授权不涉及oauth2之类的第三方授权。在action的生命周期里，可以多起调用，而过滤器只能在容器初始化时调用一次。

spring如何去掉.do

ResourceConfigurerAdapter1、首先在web.xml配置前端和字符编码过滤器时拦截。

2、然后在springmvc-servlet.xml中设置静态资源访问不经过前端，而是直接访问资源，这样就可以去掉.截取了关键几行如下：do。

spring boot 怎么注入@configuration类？

在实1、首先就是在web.xml中配置spring的，代码如图所示，注意将代码放在文件的最上面，这是因为spring初始化容器要先执行即可。际的web应用程序中，经常需要在请求（request）外面增加包装用于：记录调用日志、排除有XSS威胁的字符、执行权限验证等等。除了上述提到的之外，Spring Boot自动添加了OrderedCharacterEncodingFilter和HiddenHttpModFilter，并且我们在自己的项目中还可以增加别的过滤器。

因此需要将发来的请求包含的IP地址转换成真正的用户IP。Tomcat 8 提供了对应的过滤器：RemoteIpFilter。通过将RemoteFilter这个过滤器加入过滤器调用链即可使用它。

以下是具体方案：