Spring Security大文件/慢网POST请求JWT认证超时问题

传统Spring MVC + Spring Security JWT架构下，BearerTokenAuthenticationFilter默认在请求体（如MultipartFile）完全接收后才执行认证，大文件上传或网络缓慢时，上传时长超过JWT有效期会触发401错误。以下是无需切换响应式API的可行解决方案：

• 调整认证过滤器执行时机，提前至请求体解析前
  Spring Security过滤器链顺序可自定义，默认BearerTokenAuthenticationFilter在MultipartFilter之后运行。你可以手动调整顺序，让JWT认证过滤器在文件解析前执行，确保接收字节流前完成令牌校验。
  示例配置：

  @Configuration
  public class SecurityConfig extends WebSecurityConfigurerAdapter {
      @Autowired
      private JwtAuthenticationTokenFilter jwtAuthenticationTokenFilter;
  
      @Override
      protected void configure(HttpSecurity http) throws Exception {
          http.addFilterBefore(jwtAuthenticationTokenFilter, MultipartFilter.class)
              .authorizeRequests()
              .antMatchers("/upload/**").hasRole("UPLOADER")
              // 其他安全配置...
              .and().csrf().disable();
      }
  }
  

  注意：自定义JWT过滤器仅解析请求头中的令牌，不要读取请求体，避免干扰后续Multipart解析流程。

• 针对上传接口优化JWT校验逻辑
  在JWT认证逻辑中对上传接口单独处理：只要用户发起请求时令牌有效（即令牌exp时间 ≥ 请求到达服务器的时间），即使上传过程中令牌过期，也允许请求完成。
  实现思路：在自定义JWT过滤器中判断请求路径，若为上传接口，则使用请求到达时间而非当前认证处理时间来校验令牌有效期，确保发起请求时的合法性被认可。

• 分阶段上传方案
  将上传拆分为两步，彻底规避长时上传的JWT过期问题：

  1. 用户先调用/get-upload-token接口，携带有效JWT令牌，后端校验通过后生成临时上传凭证（如时效1小时的专用短令牌、带签名的上传参数）。
  2. 用户使用临时凭证调用文件上传接口，后端只需校验临时凭证的有效性，无需再验证原JWT。

• 自定义MultipartResolver前置认证
  自定义MultipartResolver，在解析Multipart请求体前先完成JWT认证，认证通过后再继续接收文件：

  public class AuthAwareMultipartResolver extends CommonsMultipartResolver {
      @Autowired
      private JwtTokenProvider jwtTokenProvider;
  
      @Override
      public boolean isMultipart(HttpServletRequest request) {
          // 先校验JWT令牌
          String token = extractTokenFromHeader(request);
          if (token == null || !jwtTokenProvider.validateToken(token)) {
              throw new AuthenticationCredentialsNotFoundException("Invalid or expired token");
          }
          return super.isMultipart(request);
      }
  
      private String extractTokenFromHeader(HttpServletRequest request) {
          String bearerToken = request.getHeader("Authorization");
          if (StringUtils.hasText(bearerToken) && bearerToken.startsWith("Bearer ")) {
              return bearerToken.substring(7);
          }
          return null;
      }
  }
  

  注册自定义Resolver：

  @Configuration
  public class WebConfig {
      @Bean
      public MultipartResolver multipartResolver() {
          return new AuthAwareMultipartResolver();
      }
  }
  

内容的提问来源于stack exchange，提问作者Detlef Brendle