为何调试显示的Security过滤器链部分Filter未在addFilter列表中？

为什么部分过滤器不在HttpSecurity.addFilter的注释列表里？ #

• 注释列表的局限性：HttpSecurity.addFilter的注释是手动维护的静态列表，仅包含Spring Security团队认为用户常需要手动配置的过滤器。像DisableEncodeUrlFilter这类框架内部自动注册的新过滤器（Spring Security 6+新增），因为用户很少需要手动调用addFilter来添加它们，所以没被纳入注释列表，属于文档更新滞后或范围限定的问题。
• 注册渠道不同：不是所有Security过滤器都通过HttpSecurity.addFilter系列方法注册。部分过滤器是Spring Security自动装配时默认注入的，比如DisableEncodeUrlFilter是框架为了处理URL编码逻辑自动添加到链中的，不需要用户手动配置，自然不会出现在addFilter的注释说明里。

关于过滤器顺序和官方文档不一致的问题 #

官方文档给出的是通用场景下的推荐顺序，但Spring Boot的自动配置会根据项目的实际依赖和配置调整过滤器顺序：

• 比如ForceEagerSessionCreationFilter和DisableEncodeUrlFilter的顺序颠倒，可能是因为你的项目启用了Session相关的自动配置，框架优先保证Session创建逻辑的执行时机，或者针对Web环境的默认行为做了适配。
• debug=true打印的是当前项目实际生效的过滤器链顺序，它会结合自动配置、用户自定义配置等因素动态生成，和官方文档的通用参考顺序出现差异是正常的。

内容的提问来源于stack exchange，提问作者Manuel Jordan