Spring Boot：自定义过滤器未拦截静态资源请求，如何实现公开与私有静态资源的访问控制？

嘿，我帮你梳理下问题所在——你的过滤器没对静态资源生效，主要是几个关键细节没处理对：

核心问题：静态资源的路径匹配逻辑错了 #

Spring Boot 里，static/ 是静态资源的默认根目录，访问这些资源的时候不需要在URL里加static前缀。举个例子：

• 你放在static/public/photo.jpg的资源，实际访问路径是/public/photo.jpg
• 而static/private/doc.pdf的访问路径是/private/doc.pdf

你过滤器里写的request.getRequestURI().matches(".*/static/private/.*")，永远匹配不到真实的请求路径，这就是私有资源的请求没触发认证逻辑的根本原因。

其他需要修复的点 #

1. 修正路径匹配规则 #

把判断条件改成匹配/private/开头的路径就对了：

if (request.getRequestURI().matches("^/private/.*")) {
    // 你的认证逻辑在这里执行
}

2. 别忘记放行请求链 #

你的doFilter方法里漏掉了filterChain.doFilter(request, response)！不管认证通不通过，都得调用这句话，否则请求会被直接截断，连静态资源都返回不了。修正后的完整逻辑参考：

@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
    HttpServletRequest request = (HttpServletRequest) servletRequest;
    HttpServletResponse response = (HttpServletResponse) servletResponse;

    // 只对私有资源路径做认证校验
    if (request.getRequestURI().matches("^/private/.*")) {
        // 调用你的认证微服务验证cookie
        boolean isAuthenticated = validateCookie(request.getCookies());
        if (!isAuthenticated) {
            // 认证失败返回401
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            return;
        }
    }
    // 放行请求，继续处理（返回静态资源或交给Jersey）
    filterChain.doFilter(request, response);
}

// 示例：验证cookie的方法，替换成你实际的微服务调用逻辑
private boolean validateCookie(Cookie[] cookies) {
    if (cookies == null) return false;
    for (Cookie cookie : cookies) {
        if ("你的认证cookie名称".equals(cookie.getName())) {
            // 这里调用认证微服务验证token有效性
            return true; // 假设验证通过
        }
    }
    return false;
}

3. 确认过滤器能被Spring正确扫描 #

你的过滤器是静态内部类且标注了@Component，得确保它的外部类也是Spring管理的Bean（比如给外部类加@Component），否则这个静态内部类不会被Spring扫描注册。如果外部类不需要是Bean，建议把过滤器改成独立的类，这样更稳妥。

4. 过滤器的顺序和映射范围没问题 #

@Order(1)能保证你的过滤器在其他过滤器之前执行，这个配置是合理的；另外@Component标注的Filter默认映射到/*，会覆盖所有请求路径（包括静态资源和Jersey的/api路径），完全符合你的需求，不用额外调整。

额外优化：用Spring Security简化配置 #

如果不想自己写Filter，其实用Spring Security实现这个需求更简洁，代码大概是这样：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                // 公开资源允许所有人访问
                .antMatchers("/public/**").permitAll()
                // 私有资源必须认证
                .antMatchers("/private/**").authenticated()
                .and()
                // 这里配置你的认证方式（比如基于cookie的认证）
                .formLogin().disable(); // 如果不需要表单登录可以禁用
    }
}

内容的提问来源于stack exchange，提问作者pickoneusername