自定义Servlet Filter未对所有资源生效的问题排查

嘿，我帮你梳理下几个可能导致自定义响应头无法全局生效的关键问题，咱们一个个解决：

1. 包名配置不匹配（致命笔误） #

你的Filter类实际包名是com.headers.config，但在web.xml的filter-class节点里写的是com.cdp.headers.config.MySecurityHeadersFilter——这两个包路径完全不一致！虽然你说控制台能看到Filter被调用，但大概率是你输入时的笔误，实际部署时如果包名写错，Tomcat根本找不到这个Filter类。先立刻修正这个包名，确保和代码里的包路径完全一致。

2. 响应头添加时机错误（核心问题） #

你当前的doFilter逻辑是先调用chain.doFilter(request, response)，再添加响应头，这是典型的顺序错误：

当chain.doFilter执行完成时，后续的Servlet或Filter（比如Tomcat处理静态资源的DefaultServlet）可能已经把响应提交给客户端了，此时HTTP响应头已经被写入输出流，再调用addHeader完全无效。

正确的做法是先设置响应头，再执行后续的请求链，这样在任何处理逻辑执行前，响应头就已经被写入，不会被后续的提交操作忽略。修改后的doFilter方法如下：

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest httpReq = (HttpServletRequest) request;
    HttpServletResponse httpResp = (HttpServletResponse) response;
    
    // 先设置所有自定义响应头
    httpResp.addHeader("Content-Security-Policy", "default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';base-uri 'self';form-action 'self';");
    httpResp.addHeader("Expect-CT", "max-age=86400, enforce, report-uri=https://"+ httpReq.getHeader("host").trim() +"/bham/user/reportCT");
    httpResp.addHeader("Feature-Policy", "vibrate 'none'; geolocation 'none';");
    httpResp.addHeader("Referrer-Policy", "no-referrer-when-downgrade");
    
    // 再执行后续的Filter和Servlet逻辑
    chain.doFilter(request, response);
    
    System.out.println("Response Headers: "+((HttpServletResponse) response).getHeaderNames());
}

3. Filter映射冗余与顺序优化 #

你配置了/和/*两个映射，其实/*已经能匹配应用内的所有请求（包括静态资源、动态接口、页面等），可以删掉/的映射，避免冗余。另外，注意Filter的执行顺序：在web.xml中，Filter是按照定义顺序执行的，你的自定义Filter放在HttpHeaderSecurityFilter和ExpiresFilter之前是合理的，这样自定义头不会被后续Filter的setHeader操作覆盖。

4. 静态资源的额外检查 #

Tomcat的DefaultServlet处理静态资源时，可能会提前缓存响应或提交输出流，你可以检查下Tomcatconf/web.xml里的DefaultServlet配置，确保它没有禁用Filter对静态资源的拦截（默认是允许的，只要你的Filter映射是/*就没问题）。

修改完这些点后，重启Tomcat再测试所有资源的响应头，应该就能看到你自定义的头全局生效了。

内容的提问来源于stack exchange，提问作者Rachit M Garg