Spring Boot多文件上传请求完成前如何提前校验Authorization头

问题根源 #

你当前的校验逻辑写在Controller层，而Spring默认的Multipart解析器会在请求到达Controller前就完成整个multipart请求的接收、解析，将上传的文件暂存到内存或临时磁盘中，此时再做身份校验已经晚于文件接收流程，无法满足你的需求。

推荐方案1：使用Spring Security做身份校验（最稳妥） #

Spring Security的过滤器链优先级远高于Multipart解析流程，会先完成身份校验再放行后续请求，未授权的请求会直接返回401，不会触发文件解析逻辑。
示例配置参考：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 仅对上传接口要求认证，其余接口规则可按自身业务调整
                .requestMatchers("/uploadLogo").authenticated()
                .anyRequest().permitAll()
            )
            // 此处替换为你实际使用的认证方式，如JWT、HTTP Basic等
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()))
            // 若接口为前后端分离或第三方调用场景，可关闭CSRF校验，按需调整
            .csrf(csrf -> csrf.disable());
        return http.build();
    }
}

推荐方案2：自定义高优先级过滤器实现校验（无Spring Security场景） #

如果你的项目没有接入Spring Security，可以自定义一个优先级最高的过滤器，在过滤器中先完成Authorization头的校验，校验不通过直接返回，不会执行后续的Multipart解析流程。

步骤1：编写过滤器代码 #

// 优先级设为最高，保证先于Multipart解析流程执行
@Order(Ordered.HIGHEST_PRECEDENCE)
@Component
public class UploadAuthFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest httpReq = (HttpServletRequest) request;
        HttpServletResponse httpResp = (HttpServletResponse) response;

        // 仅拦截上传接口，其余接口直接放行
        if (!"/uploadLogo".equals(httpReq.getServletPath())) {
            chain.doFilter(request, response);
            return;
        }

        String authHeader = httpReq.getHeader("Authorization");
        // 替换为你实际的身份校验逻辑，如校验token合法性、有效期等
        if (authHeader == null || !isValidAuth(authHeader)) {
            httpResp.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            httpResp.setContentType("application/json");
            httpResp.getWriter().write("{\"code\":401,\"message\":\"身份认证失败\"}");
            return;
        }

        // 校验通过，放行后续请求
        chain.doFilter(request, response);
    }

    private boolean isValidAuth(String authHeader) {
        // 示例：校验Bearer token格式，按需替换为你的真实校验逻辑
        return authHeader.startsWith("Bearer ") && !authHeader.substring(7).isBlank();
    }
}

备选方案：开启Multipart延迟解析 #

如果不想新增过滤器，也可以开启Spring的Multipart延迟解析配置，让Multipart请求不会提前解析，而是第一次访问文件参数时才触发解析。

1. 在配置文件中添加配置：

spring.servlet.multipart.resolve-lazily=true

2. 调整Controller层代码，先校验Authorization，再处理文件：

@PostMapping(path = "/uploadLogo", produces = "application/json", consumes = "multipart/form-data")
public ApiResponse handleFileUpload(HttpServletRequest request, @RequestParam("file") MultipartFile file){
    // 第一行先做身份校验
    String authHeader = request.getHeader("Authorization");
    if (authHeader == null || !validateAuth(authHeader)) {
        return ApiResponse.fail(401, "身份认证失败");
    }
    // 校验通过后再处理文件
    ...
}

注意：该方案可靠性低于前两种，若项目中存在拦截器、AOP等逻辑提前读取请求参数，会触发Multipart解析，导致校验逻辑依然晚于文件接收。

内容的提问来源于stack exchange，提问作者Thanassis_Ts