如何在Spring Security中实现Multipart文件上传前验证JWT？

问题根源 #

Spring Security默认对Multipart请求的处理逻辑是先接收完整文件，再执行安全校验。大文件上传耗时较长，期间JWT可能过期，导致上传完成后校验失败返回401，即便用户权限合法。

解决方案 #

1. 调整过滤器执行顺序，提前触发JWT校验 #

通过配置让JWT认证过滤器在Multipart文件解析过滤器之前执行，确保请求进入时先完成token校验，再处理文件上传：

• 配置MultipartFilter的执行顺序：

@Bean
public FilterRegistrationBean<MultipartFilter> multipartFilter() {
    FilterRegistrationBean<MultipartFilter> registrationBean = new FilterRegistrationBean<>();
    MultipartFilter multipartFilter = new MultipartFilter();
    registrationBean.setFilter(multipartFilter);
    // 设置顺序，确保JWT认证过滤器先执行
    registrationBean.setOrder(SecurityProperties.DEFAULT_FILTER_ORDER - 5);
    return registrationBean;
}

• 在SecurityFilterChain中明确JWT过滤器的优先级：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .csrf(csrf -> csrf.disable())
        .authorizeHttpRequests(auth -> auth
            .anyRequest().authenticated()
        )
        .oauth2ResourceServer(oauth2 -> oauth2
            .jwt(jwt -> jwt.decoder(jwtDecoder()))
        );
    
    // 将JWT认证过滤器添加到MultipartFilter之前
    http.addFilterBefore(jwtAuthenticationFilter(), MultipartFilter.class);
    return http.build();
}

2. 实现分块上传（推荐长期方案） #

针对大文件场景，分块上传从根本上避免长时间上传导致的token过期问题：

• 前端将大文件分割为固定大小的块（如5MB），每个块上传时携带JWT、文件唯一ID、块序号、总块数等参数；
• 后端接口接收单个文件块，存储到临时目录；
• 所有块上传完成后，后端合并所有块为完整文件；
• 每个块的上传请求都会触发JWT校验，即便某块上传时token接近过期，用户可刷新token后继续上传剩余块。

3. 临时调整JWT过期时间（仅应急） #

若场景允许，可适当延长Admin用户的JWT过期时长，降低上传过程中token过期的概率。但此方案仅为临时缓解，无法解决大文件上传的本质问题，不推荐长期使用。

内容的提问来源于stack exchange，提问作者user3015035