Spring Boot自定义认证过滤器未生效问题排查求助

一、自定义过滤器未生效的核心排查点 #

1. 确认过滤器在Security链中的注册逻辑 #

检查SecurityConfig的SecurityFilterChain配置，必须将自定义过滤器明确加入过滤器链，并指定正确的执行顺序（通常放在UsernamePasswordAuthenticationFilter之前）：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    // 替换为你的自定义过滤器Bean
    http.addFilterBefore(customAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
    // 其余配置（如授权规则、CSRF禁用等）
    return http.build();
}

同时确保CustomAuthenticationFilter被正确声明为Spring Bean（比如添加@Component注解，或在配置类中手动注入）。

2. 验证过滤器的请求匹配路径 #

自定义过滤器默认只会处理/login路径，若你的登录接口路径不同，必须在过滤器构造方法中指定：

public CustomAuthenticationFilter() {
    // 替换为你的实际登录接口路径
    setFilterProcessesUrl("/api/auth/login");
}

确保请求URL与该路径完全匹配，否则请求不会进入过滤器的attemptAuthentication方法。

3. 适配JSON格式请求的参数解析 #

默认的UsernamePasswordAuthenticationFilter仅支持form-urlencoded格式，若你使用JSON请求，必须在自定义过滤器中手动解析请求体：

@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
    try {
        ObjectMapper mapper = new ObjectMapper();
        LoginRequest loginDTO = mapper.readValue(request.getInputStream(), LoginRequest.class);
        UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(
                loginDTO.getUsername(), loginDTO.getPassword()
        );
        // 触发认证逻辑
        return getAuthenticationManager().authenticate(authToken);
    } catch (IOException e) {
        throw new AuthenticationServiceException("Failed to parse login request", e);
    }
}

同时检查日志配置，确保attemptAuthentication中的日志语句（如logger.info("进入自定义认证过滤器")）的日志级别（如INFO）已开启。

二、HttpMediaTypeNotSupportedException 解决 #

该异常是因为接口未声明支持form-urlencoded格式，可通过两种方式处理：

1. 控制器方法声明支持多媒体类型 #

在登录接口的@PostMapping中添加consumes属性，同时兼容JSON和表单格式：

@PostMapping(value = "/api/auth/login", consumes = {
        MediaType.APPLICATION_JSON_VALUE,
        MediaType.APPLICATION_FORM_URLENCODED_VALUE
})
public ResponseEntity<?> login(...) {
    // 接口逻辑
}

2. 自定义过滤器兼容两种请求格式 #

修改attemptAuthentication方法，同时处理JSON和表单参数：

@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
    String username = null;
    String password = null;

    String contentType = request.getContentType();
    if (MediaType.APPLICATION_JSON_VALUE.equalsIgnoreCase(contentType)) {
        // 解析JSON请求体
        try {
            LoginRequest loginDTO = new ObjectMapper().readValue(request.getInputStream(), LoginRequest.class);
            username = loginDTO.getUsername();
            password = loginDTO.getPassword();
        } catch (IOException e) {
            throw new AuthenticationServiceException("Invalid JSON request", e);
        }
    } else if (MediaType.APPLICATION_FORM_URLENCODED_VALUE.equalsIgnoreCase(contentType)) {
        // 解析表单参数
        username = request.getParameter("username");
        password = request.getParameter("password");
    }

    if (username == null || password == null) {
        throw new BadCredentialsException("Username or password cannot be null");
    }

    UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(username, password);
    return getAuthenticationManager().authenticate(authToken);
}

三、额外排查项 #

• 检查Spring Security依赖版本，确保与教程版本一致，避免版本差异导致的配置不兼容。
• 查看项目启动日志，确认CustomAuthenticationFilter已被Spring容器加载。
• 排查是否有其他全局过滤器/拦截器提前拦截了登录请求，导致自定义过滤器无法执行。

内容的提问来源于stack exchange，提问作者suvodipMondal