Spring Boot Security：为特定URL模式定制JWT认证过滤器

针对Spring Boot Security中JWT过滤器默认应用于所有URL的问题，本文详细阐述如何通过扩展AbstractAuthenticationProcessingFilter并结合RequestMatcher，实现JWT过滤器仅对 /api/** 等指定URL模式生效，从而提供更精细化的安全控制。通过此方法，开发者可以精确地控制哪些请求需要JWT认证，避免不必要的性能开销和逻辑复杂性。

在Spring Boot应用程序中集成JWT（JSON Web Token）进行认证时，一个常见的需求是只对特定URL模式的请求应用JWT过滤器，而不是所有请求。默认情况下，如果直接使用http.addFilterBefore(customJwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class)，该自定义过滤器可能会在所有请求进入UsernamePasswordAuthenticationFilter之前被执行，这在某些场景下可能不是最优解，例如，对于公开的API或静态资源，我们不希望它们经过JWT认证逻辑。

为了实现对特定URL模式的精确过滤，Spring Security提供了AbstractAuthenticationProcessingFilter抽象类和RequestMatcher接口，它们是解决此类问题的关键。

核心概念解析

AbstractAuthenticationProcessingFilter: 这是Spring Security中用于处理特定认证请求的抽象基类。它在内部持有一个RequestMatcher实例，只有当请求与该RequestMatcher匹配时，过滤器才会尝试进行认证处理（即调用attemptAuthentication方法）。这使得我们可以将认证逻辑与请求路径解耦，实现按需认证。

RequestMatcher: 这是一个核心接口，定义了如何判断一个HttpServletRequest是否匹配某种规则。Spring Security提供了多种内置实现，例如：

AntPathRequestMatcher: 基于Ant风格路径模式（如/api/**, /users/*）进行匹配。RegexRequestMatcher: 基于正则表达式进行匹配。OrRequestMatcher: 将多个RequestMatcher通过逻辑或（OR）组合。AndRequestMatcher: 将多个RequestMatcher通过逻辑与（AND）组合。通过灵活运用这些匹配器，我们可以构建复杂的URL匹配逻辑。

实现步骤

1. 创建定制JWT认证过滤器

首先，我们需要修改原有的CustomJwtAuthenticationFilter，使其继承自AbstractAuthenticationProcessingFilter，并在构造函数中接收一个RequestMatcher。

import org.springframework.security.authentication.AuthenticationManager;import org.springframework.security.authentication.BadCredentialsException;import org.springframework.security.core.Authentication;import org.springframework.security.core.AuthenticationException;import org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter;import org.springframework.security.web.util.matcher.RequestMatcher;import javax.servlet.ServletException;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;import java.io.IOException;public class CustomJwtAuthenticationFilter extends AbstractAuthenticationProcessingFilter {    // 构造函数，接收一个RequestMatcher，该匹配器定义了哪些请求需要此过滤器处理    public CustomJwtAuthenticationFilter(RequestMatcher requiresAuthenticationRequestMatcher) {        super(requiresAuthenticationRequestMatcher);    }    // 实际的认证逻辑    @Override    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)            throws AuthenticationException, IOException, ServletException {        // 从请求中提取JWT令牌的逻辑        String token = extractJwtFromRequest(request);        if (token == null) {            // 如果没有令牌，则抛出认证异常，由AuthenticationEntryPoint处理            throw new BadCredentialsException("No JWT token found in request.");        }        // 假设JwtAuthenticationToken是一个自定义的Authentication实现，        // 包含了JWT令牌信息，等待AuthenticationManager处理        JwtAuthenticationToken authenticationToken = new JwtAuthenticationToken(token);        // 将令牌提交给AuthenticationManager进行认证        // AuthenticationManager会找到对应的AuthenticationProvider来验证令牌        return this.getAuthenticationManager().authenticate(authenticationToken);    }    // 辅助方法：从请求中提取JWT令牌    private String extractJwtFromRequest(HttpServletRequest request) {        // 示例：从Authorization头中提取Bearer Token        String bearerToken = request.getHeader("Authorization");        if (bearerToken != null && bearerToken.startsWith("Bearer ")) {            return bearerToken.substring(7); // 移除"Bearer "前缀        }        return null;    }    // 可以选择性地覆盖successfulAuthentication和unsuccessfulAuthentication方法    // 来处理认证成功或失败后的逻辑，例如设置安全上下文或记录日志。}

注意：JwtAuthenticationToken 和处理JWT令牌的AuthenticationProvider需要您自行实现。这里主要关注过滤器的结构。

稿定AI绘图

稿定推出的AI绘画工具

36 查看详情

2. 定义请求匹配器

为了让JWT过滤器仅作用于/api/**路径，我们可以使用AntPathRequestMatcher。

import org.springframework.security.web.util.matcher.AntPathRequestMatcher;import org.springframework.security.web.util.matcher.RequestMatcher;// ...// 在您的Security配置类中或单独定义RequestMatcher apiPathsMatcher = new AntPathRequestMatcher("/api/**");

3. 集成到Spring Security配置

最后，在您的Spring Security配置类（通常是继承WebSecurityConfigurerAdapter的类）中，将这个定制的JWT过滤器添加到过滤器链中。

import org.springframework.context.annotation.Bean;import org.springframework.context.annotation.Configuration;import org.springframework.security.authentication.AuthenticationManager;import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;import org.springframework.security.config.annotation.web.builders.HttpSecurity;import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;import org.springframework.security.config.http.SessionCreationPolicy;import org.springframework.security.core.userdetails.UserDetailsService;import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;import org.springframework.security.web.util.matcher.AntPathRequestMatcher;import org.springframework.security.web.AuthenticationEntryPoint; // 假设您有自定义的认证入口点@Configuration@EnableWebSecuritypublic class SecurityConfig extends WebSecurityConfigurerAdapter {    private final UserDetailsService userDetailsService; // 假设您有UserDetailsService    private final AuthenticationEntryPoint jwtAuthenticationEntryPoint; // 假设您有JWT认证入口点    public SecurityConfig(UserDetailsService userDetailsService, AuthenticationEntryPoint jwtAuthenticationEntryPoint) {        this.userDetailsService = userDetailsService;        this.jwtAuthenticationEntryPoint = jwtAuthenticationEntryPoint;    }    @Override    protected void configure(AuthenticationManagerBuilder auth) throws Exception {        // 配置您的AuthenticationManager，例如使用UserDetailsService和密码编码器        auth.userDetailsService(userDetailsService);    }    @Bean    @Override    public AuthenticationManager authenticationManagerBean() throws Exception {        // 暴露AuthenticationManager为Bean，供CustomJwtAuthenticationFilter使用        return super.authenticationManagerBean();    }    // 定义CustomJwtAuthenticationFilter为Bean    @Bean    public CustomJwtAuthenticationFilter customJwtAuthenticationFilter() throws Exception {        // 创建一个匹配器，指定只有/api/**路径的请求才会被此JWT过滤器处理        AntPathRequestMatcher apiMatcher = new AntPathRequestMatcher("/api/**");        CustomJwtAuthenticationFilter filter = new CustomJwtAuthenticationFilter(apiMatcher);        // 必须设置AuthenticationManager，因为AbstractAuthenticationProcessingFilter需要它来执行认证        filter.setAuthenticationManager(authenticationManagerBean());        // 可以选择性设置认证成功/失败处理器        // filter.setAuthenticationSuccessHandler(...)        // filter.setAuthenticationFailureHandler(...)        return filter;    }    @Override    protected void configure(HttpSecurity http) throws Exception {        http.csrf().disable() // 禁用CSRF，因为JWT通常是无状态的            .authorizeRequests()                // 确保/api/**路径需要认证。当请求到达这些路径时，如果尚未认证，                // customJwtAuthenticationFilter会尝试处理                .antMatchers("/api/**").authenticated()                // 其他路径可以设置为permitAll()或根据需求配置                .antMatchers("/users", "/login", "/").permitAll()                .anyRequest().authenticated() // 任何其他未匹配的请求也需要认证            .and()            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS) // JWT是无状态的            .and()            .exceptionHandling()                .authenticationEntryPoint(jwtAuthenticationEntryPoint) // 未认证或认证失败的入口点                .accessDeniedPage("/403") // 访问被拒绝的页面            .and()            // 将自定义的JWT过滤器添加到UsernamePasswordAuthenticationFilter之前            // CustomJwtAuthenticationFilter现在只处理/api/**路径            .addFilterBefore(customJwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);    }}

在上述配置中，antMatchers(“/api/**”).authenticated() 确保了所有/api/**路径的请求都需要认证。当请求匹配/api/**时，customJwtAuthenticationFilter会尝试提取并验证JWT令牌。如果令牌有效，请求将继续处理；否则，jwtAuthenticationEntryPoint将介入处理认证失败。对于其他未匹配/api/**的路径，customJwtAuthenticationFilter根本不会被触发，从而实现了精确的过滤。

注意事项

AuthenticationManager的注入与设置：AbstractAuthenticationProcessingFilter需要一个AuthenticationManager来委托实际的认证过程。因此，您必须通过@Bean注解将authenticationManagerBean()暴露为一个Bean，并在创建CustomJwtAuthenticationFilter实例时将其设置进去。过滤器链顺序：addFilterBefore(customJwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class)的顺序至关重要。它确保了在Spring Security默认的表单登录过滤器之前，我们的JWT过滤器有机会处理请求。RequestMatcher的灵活性：除了AntPathRequestMatcher，您还可以根据需要使用OrRequestMatcher、AndRequestMatcher等组合多个匹配规则，以实现更复杂的URL过滤逻辑。例如，如果您想过滤/api/v1/**和/admin/**，可以使用new OrRequestMatcher(new AntPathRequestMatcher(“/api/v1/**”), new AntPathRequestMatcher(“/admin/**”))。认证入口点（AuthenticationEntryPoint）：当CustomJwtAuthenticationFilter尝试认证失败时（例如，没有提供令牌或令牌无效），它会抛出AuthenticationException。此时，authenticationEntryPoint会负责处理这个异常，通常是返回一个401 Unauthorized响应。确保您的jwtAuthenticationEntryPoint能够正确处理这种情况。无状态会话：JWT通常用于无状态认证，因此将sessionCreationPolicy设置为STATELESS是最佳实践，这会禁用Spring Security的会话管理，并确保每次请求都携带JWT进行认证。错误处理：在attemptAuthentication方法中，如果无法提取或解析JWT，应抛出适当的AuthenticationException，让Spring Security的异常处理机制（通过AuthenticationEntryPoint）来统一处理。

总结

通过继承AbstractAuthenticationProcessingFilter并利用RequestMatcher，我们可以为Spring Boot Security中的JWT认证过滤器实现精准的URL模式匹配。这种方法不仅提高了应用程序的安全性，因为它只在必要时才执行认证逻辑，同时也优化了性能，避免了不必要的处理开销。掌握这种技术，能够帮助开发者构建更加健壮和高效的Spring Security认证体系。

以上就是Spring Boot Security：为特定URL模式定制JWT认证过滤器的详细内容，更多请关注创想鸟其它相关文章！