针对Spring Boot Security中JWT过滤器默认应用于所有URL的问题，本文详细阐述如何通过扩展AbstractAuthenticationProcessingFilter并结合RequestMatcher，实现JWT过滤器仅对 /api/** 等指定URL模式生效，从而提供更精细化的安全控制。通过此方法，开发者可以精确地控制哪些请求需要JWT认证，避免不必要的性能开销和逻辑复杂性。
在Spring Boot应用程序中集成JWT（JSON Web Token）进行认证时，一个常见的需求是只对特定URL模式的请求应用JWT过滤器，而不是所有请求。默认情况下，如果直接使用http.addFilterBefore(customJwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class)，该自定义过滤器可能会在所有请求进入UsernamePasswordAuthenticationFilter之前被执行，这在某些场景下可能不是最优解，例如，对于公开的API或静态资源，我们不希望它们经过JWT认证逻辑。
为了实现对特定URL模式的精确过滤，Spring Security提供了AbstractAuthenticationProcessingFilter抽象类和RequestMatcher接口，它们是解决此类问题的关键。
核心概念解析
AbstractAuthenticationProcessingFilter: 这是Spring Security中用于处理特定认证请求的抽象基类。它在内部持有一个RequestMatcher实例，只有当请求与该RequestMatcher匹配时，过滤器才会尝试进行认证处理（即调用attemptAuthentication方法）。这使得我们可以将认证逻辑与请求路径解耦，实现按需认证。
RequestMatcher: 这是一个核心接口，定义了如何判断一个HttpServletRequest是否匹配某种规则。Spring Security提供了多种内置实现，例如：
AntPathRequestMatcher: 基于Ant风格路径模式（如/api/**, /users/*）进行匹配。RegexRequestMatcher: 基于正则表达式进行匹配。OrRequestMatcher: 将多个RequestMatcher通过逻辑或（OR）组合。AndRequestMatcher: 将多个RequestMatcher通过逻辑与（AND）组合。通过灵活运用这些匹配器，我们可以构建复杂的URL匹配逻辑。
实现步骤
1. 创建定制JWT认证过滤器
首先，我们需要修改原有的CustomJwtAuthenticationFilter，使其继承自AbstractAuthenticationProcessingFilter，并在构造函数中接收一个RequestMatcher。
import org.springframework.security.authentication.AuthenticationManager;import org.springframework.security.authentication.BadCredentialsException;import org.springframework.security.core.Authentication;import org.springframework.security.core.AuthenticationException;import org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter;import org.springframework.security.web.util.matcher.RequestMatcher;import javax.servlet.ServletException;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;import java.io.IOException;public class CustomJwtAuthenticationFilter extends AbstractAuthenticationProcessingFilter { // 构造函数，接收一个RequestMatcher，该匹配器定义了哪些请求需要此过滤器处理 public CustomJwtAuthenticationFilter(RequestMatcher requiresAuthenticationRequestMatcher) { super(requiresAuthenticationRequestMatcher); } // 实际的认证逻辑 @Override public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException, IOException, ServletException { // 从请求中提取JWT令牌的逻辑 String token = extractJwtFromRequest(request); if (token == null) { // 如果没有令牌，则抛出认证异常，由AuthenticationEntryPoint处理 throw new BadCredentialsException("No JWT token found in request."); } // 假设JwtAuthenticationToken是一个自定义的Authentication实现， // 包含了JWT令牌信息，等待AuthenticationManager处理 JwtAuthenticationToken authenticationToken = new JwtAuthenticationToken(token); // 将令牌提交给AuthenticationManager进行认证 // AuthenticationManager会找到对应的AuthenticationProvider来验证令牌 return this.getAuthenticationManager().authenticate(authenticationToken); } // 辅助方法：从请求中提取JWT令牌 private String extractJwtFromRequest(HttpServletRequest request) { // 示例：从Authorization头中提取Bearer Token String bearerToken = request.getHeader("Authorization"); if (bearerToken != null && bearerToken.startsWith("Bearer ")) { return bearerToken.substring(7); // 移除"Bearer "前缀 } return null; } // 可以选择性地覆盖successfulAuthentication和unsuccessfulAuthentication方法 // 来处理认证成功或失败后的逻辑，例如设置安全上下文或记录日志。}
注意：JwtAuthenticationToken 和处理JWT令牌的AuthenticationProvider需要您自行实现。这里主要关注过滤器的结构。
稿定AI绘图
稿定推出的AI绘画工具
36 查看详情 
2. 定义请求匹配器
为了让JWT过滤器仅作用于/api/**路径，我们可以使用AntPathRequestMatcher。
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;import org.springframework.security.web.util.matcher.RequestMatcher;// ...// 在您的Security配置类中或单独定义RequestMatcher apiPathsMatcher = new AntPathRequestMatcher("/api/**");
3. 集成到Spring Security配置
最后，在您的Spring Security配置类（通常是继承WebSecurityConfigurerAdapter的类）中，将这个定制的JWT过滤器添加到过滤器链中。
import org.springframework.context.annotation.Bean;import org.springframework.context.annotation.Configuration;import org.springframework.security.authentication.AuthenticationManager;import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;import org.springframework.security.config.annotation.web.builders.HttpSecurity;import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;import org.springframework.security.config.http.SessionCreationPolicy;import org.springframework.security.core.userdetails.UserDetailsService;import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;import org.springframework.security.web.util.matcher.AntPathRequestMatcher;import org.springframework.security.web.AuthenticationEntryPoint; // 假设您有自定义的认证入口点@Configuration@EnableWebSecuritypublic class SecurityConfig extends WebSecurityConfigurerAdapter { private final UserDetailsService userDetailsService; // 假设您有UserDetailsService private final AuthenticationEntryPoint jwtAuthenticationEntryPoint; // 假设您有JWT认证入口点 public SecurityConfig(UserDetailsService userDetailsService, AuthenticationEntryPoint jwtAuthenticationEntryPoint) { this.userDetailsService = userDetailsService; this.jwtAuthenticationEntryPoint = jwtAuthenticationEntryPoint; } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { // 配置您的AuthenticationManager，例如使用UserDetailsService和密码编码器 auth.userDetailsService(userDetailsService); } @Bean @Override public AuthenticationManager authenticationManagerBean() throws Exception { // 暴露AuthenticationManager为Bean，供CustomJwtAuthenticationFilter使用 return super.authenticationManagerBean(); } // 定义CustomJwtAuthenticationFilter为Bean @Bean public CustomJwtAuthenticationFilter customJwtAuthenticationFilter() throws Exception { // 创建一个匹配器，指定只有/api/**路径的请求才会被此JWT过滤器处理 AntPathRequestMatcher apiMatcher = new AntPathRequestMatcher("/api/**"); CustomJwtAuthenticationFilter filter = new CustomJwtAuthenticationFilter(apiMatcher); // 必须设置AuthenticationManager，因为AbstractAuthenticationProcessingFilter需要它来执行认证 filter.setAuthenticationManager(authenticationManagerBean()); // 可以选择性设置认证成功/失败处理器 // filter.setAuthenticationSuccessHandler(...) // filter.setAuthenticationFailureHandler(...) return filter; } @Override protected void configure(HttpSecurity http) throws Exception { http.csrf().disable() // 禁用CSRF，因为JWT通常是无状态的 .authorizeRequests() // 确保/api/**路径需要认证。当请求到达这些路径时，如果尚未认证， // customJwtAuthenticationFilter会尝试处理 .antMatchers("/api/**").authenticated() // 其他路径可以设置为permitAll()或根据需求配置 .antMatchers("/users", "/login", "/").permitAll() .anyRequest().authenticated() // 任何其他未匹配的请求也需要认证 .and() .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS) // JWT是无状态的 .and() .exceptionHandling() .authenticationEntryPoint(jwtAuthenticationEntryPoint) // 未认证或认证失败的入口点 .accessDeniedPage("/403") // 访问被拒绝的页面 .and() // 将自定义的JWT过滤器添加到UsernamePasswordAuthenticationFilter之前 // CustomJwtAuthenticationFilter现在只处理/api/**路径 .addFilterBefore(customJwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); }}
在上述配置中，antMatchers(“/api/**”).authenticated() 确保了所有/api/**路径的请求都需要认证。当请求匹配/api/**时，customJwtAuthenticationFilter会尝试提取并验证JWT令牌。如果令牌有效，请求将继续处理；否则，jwtAuthenticationEntryPoint将介入处理认证失败。对于其他未匹配/api/**的路径，customJwtAuthenticationFilter根本不会被触发，从而实现了精确的过滤。
注意事项
AuthenticationManager的注入与设置：AbstractAuthenticationProcessingFilter需要一个AuthenticationManager来委托实际的认证过程。因此，您必须通过@Bean注解将authenticationManagerBean()暴露为一个Bean，并在创建CustomJwtAuthenticationFilter实例时将其设置进去。过滤器链顺序：addFilterBefore(customJwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class)的顺序至关重要。它确保了在Spring Security默认的表单登录过滤器之前，我们的JWT过滤器有机会处理请求。RequestMatcher的灵活性：除了AntPathRequestMatcher，您还可以根据需要使用OrRequestMatcher、AndRequestMatcher等组合多个匹配规则，以实现更复杂的URL过滤逻辑。例如，如果您想过滤/api/v1/**和/admin/**，可以使用new OrRequestMatcher(new AntPathRequestMatcher(“/api/v1/**”), new AntPathRequestMatcher(“/admin/**”))。认证入口点（AuthenticationEntryPoint）：当CustomJwtAuthenticationFilter尝试认证失败时（例如，没有提供令牌或令牌无效），它会抛出AuthenticationException。此时，authenticationEntryPoint会负责处理这个异常，通常是返回一个401 Unauthorized响应。确保您的jwtAuthenticationEntryPoint能够正确处理这种情况。无状态会话：JWT通常用于无状态认证，因此将sessionCreationPolicy设置为STATELESS是最佳实践，这会禁用Spring Security的会话管理，并确保每次请求都携带JWT进行认证。错误处理：在attemptAuthentication方法中，如果无法提取或解析JWT，应抛出适当的AuthenticationException，让Spring Security的异常处理机制（通过AuthenticationEntryPoint）来统一处理。
总结
通过继承AbstractAuthenticationProcessingFilter并利用RequestMatcher，我们可以为Spring Boot Security中的JWT认证过滤器实现精准的URL模式匹配。这种方法不仅提高了应用程序的安全性，因为它只在必要时才执行认证逻辑，同时也优化了性能，避免了不必要的处理开销。掌握这种技术，能够帮助开发者构建更加健壮和高效的Spring Security认证体系。
以上就是Spring Boot Security：为特定URL模式定制JWT认证过滤器的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/250508.html
微信扫一扫 
支付宝扫一扫 
