Java21+Tomcat10.1：JAX-RS注入HttpServletRequest获客户端IP遇问题

针对Java 21 + Tomcat 10.1环境下，RequestHandlerWebSession类获取客户端IP遇到的注入错误，以下是具体解决思路：

一、排查@Context注入报500的问题 #

• 确认类的JAX-RS管理身份：RequestHandlerWebSession必须是JAX-RS的资源类、过滤器、拦截器或Provider组件，@Context注解才会生效。如果它是RMI相关的自定义类，JAX-RS容器不会自动注入HttpServletRequest，直接注入会导致空指针或注入失败，触发500错误。这种情况需要从JAX-RS资源方法中主动传递HttpServletRequest或IP值给该类。
• 检查包导入正确性：Tomcat 10.1基于Jakarta EE 9+，所有API包前缀是jakarta.而非javax.。确保导入的是jakarta.ws.rs.core.Context和jakarta.servlet.http.HttpServletRequest，错用javax包会导致类找不到异常，引发500。
• 查看Tomcat日志定位具体异常：直接查看Tomcat的localhost.log或catalina.log，找到500错误的栈轨迹，确认是注入失败、空指针还是其他异常，精准定位问题。

二、解决@Inject触发的CORS违规问题 #

• 检查CDI配置与CORS覆盖范围：使用@Inject需要CDI容器支持，开启CDI后请求处理流程可能变化，导致原有CORS配置未覆盖该场景。确保你的CORS过滤器/拦截器配置了正确的Access-Control-Allow-Origin、Access-Control-Allow-Methods等响应头，且覆盖所有请求路径。
• 验证全局CORS配置：如果用JAX-RS的全局CORS配置（比如通过jakarta.ws.rs.core.Application子类），确认配置类被正确加载；如果用注解@CrossOrigin，确保在关联的资源类上正确添加。
• 检查CDI bean发现模式：在WEB-INF/beans.xml中设置bean-discovery-mode="all"（或对应模式），确保CDI能管理RequestHandlerWebSession类，避免注入失败导致请求中断，间接引发CORS响应头缺失的错误。

三、可靠的替代实现方案 #

方案1：从JAX-RS资源方法传递IP #

在JAX-RS资源类中通过@Context获取请求对象，提取IP后传递给RequestHandlerWebSession：

@Path("/api")
public class ApiResource {
    @Context
    private HttpServletRequest request;

    @GET
    @Path("/data")
    public Response fetchData() {
        String clientIp = extractClientIp(request);
        RequestHandlerWebSession session = new RequestHandlerWebSession();
        session.setClientIp(clientIp);
        // 后续业务逻辑
        return Response.ok().build();
    }

    private String extractClientIp(HttpServletRequest request) {
        // 优先取代理头，兼容反向代理场景
        String ip = request.getHeader("X-Forwarded-For");
        if (ip == null || ip.isBlank() || "unknown".equalsIgnoreCase(ip)) {
            ip = request.getHeader("Proxy-Client-IP");
        }
        if (ip == null || ip.isBlank() || "unknown".equalsIgnoreCase(ip)) {
            ip = request.getRemoteAddr();
        }
        // 处理多代理场景，取第一个有效IP
        if (ip != null && ip.contains(",")) {
            ip = ip.split(",")[0].trim();
        }
        return ip;
    }
}

方案2：通过JAX-RS过滤器存储IP到请求上下文 #

实现ContainerRequestFilter，在请求进入时提取IP并存储，再在RequestHandlerWebSession中获取：

@Provider
public class ClientIpFilter implements ContainerRequestFilter {
    @Override
    public void filter(ContainerRequestContext ctx) throws IOException {
        HttpServletRequest request = (HttpServletRequest) ctx.getProperty("jakarta.servlet.http.HttpServletRequest");
        String clientIp = extractClientIp(request);
        ctx.setProperty("CLIENT_IP", clientIp);
    }

    // 复用上面的extractClientIp方法
}

在RequestHandlerWebSession中通过@Context获取请求上下文：

public class RequestHandlerWebSession {
    @Context
    private ContainerRequestContext requestContext;

    public String getClientIp() {
        return (String) requestContext.getProperty("CLIENT_IP");
    }
}

四、反向代理场景补充配置 #

如果Tomcat部署在反向代理（如Nginx）之后，需要在Tomcat的server.xml中配置RemoteIpValve，确保能获取真实客户端IP：

<Engine name="Catalina" defaultHost="localhost">
    <Valve className="org.apache.catalina.valves.RemoteIpValve"
           remoteIpHeader="X-Forwarded-For"
           protocolHeader="X-Forwarded-Proto" />
    <!-- 其他配置 -->
</Engine>

内容的提问来源于stack exchange，提问作者MARISTobi