JSF中使用preRenderView重定向时，如何避免托管Bean@PostConstruct执行？

你的问题很典型——preRenderView事件触发时，JSF已经完成了托管Bean的实例化、EJB注入和@PostConstruct方法执行，这就导致了不必要的数据库操作。要解决这个问题，我们需要在托管Bean实例化之前就完成登录检查和重定向，以下是几个最实用的方案：

方案1：使用Servlet Filter（推荐，最早期拦截） #

Servlet Filter是Java Web中最底层的拦截机制之一，它的执行时机远早于JSF生命周期，甚至在JSF容器处理请求之前。这意味着它能完全避免DashboardManager的实例化和后续的数据库操作。

步骤： #

1. 创建一个登录检查Filter类：

import javax.servlet.*;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
import java.io.IOException;

@WebFilter(urlPatterns = "/dashboard.xhtml") // 直接拦截目标页面
public class LoginCheckFilter implements Filter {

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;
        HttpSession session = req.getSession(false);

        // 检查用户是否已登录（根据你的实际登录逻辑调整，比如session中是否存在用户对象）
        boolean isLoggedIn = session != null && session.getAttribute("loggedInUser") != null;

        if (!isLoggedIn) {
            // 未登录，重定向到access-denied页面
            res.sendRedirect(req.getContextPath() + "/access-denied.xhtml");
            return;
        }

        // 已登录，继续执行请求
        chain.doFilter(request, response);
    }

    // 初始化和销毁方法可以留空，或者按需实现
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}

    @Override
    public void destroy() {}
}

2. （可选）如果不用@WebFilter注解，也可以在web.xml中配置：

<filter>
    <filter-name>LoginCheckFilter</filter-name>
    <filter-class>com.yourpackage.LoginCheckFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>LoginCheckFilter</filter-name>
    <url-pattern>/dashboard.xhtml</url-pattern>
</filter-mapping>

这个方案的优势是性能最优，因为它完全绕过了JSF的初始化流程，未登录请求根本不会触碰到DashboardManager。

方案2：使用Java EE容器安全约束（容器级拦截） #

如果你的项目基于Java EE容器（比如WildFly、TomEE），可以直接利用容器的安全机制来保护资源，这也是一种无需编写代码的高效方案。

步骤： #

在web.xml中添加安全约束配置：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected Dashboard</web-resource-name>
        <url-pattern>/dashboard.xhtml</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <!-- 指定允许访问的角色，比如"USER"或"ADMIN"，根据你的安全域配置调整 -->
        <role-name>USER</role-name>
    </auth-constraint>
</security-constraint>

<!-- 配置未授权时的错误页面 -->
<error-page>
    <error-code>403</error-code>
    <location>/access-denied.xhtml</location>
</error-page>

同时，你需要配置容器的安全域（比如JDBC Realm、LDAP Realm）来验证用户身份。容器会自动在请求到达JSF之前检查用户的登录状态和角色权限，未登录或无权限的请求会直接重定向到指定的错误页面，完全不会触发Bean的初始化。

方案3：使用<f:viewAction>（JSF原生方案） #

如果你更倾向于使用JSF原生的机制，可以用<f:viewAction>替代preRenderView，关键是要确保登录检查的逻辑不依赖于DashboardManager，而是使用一个独立的、作用域更大的Bean（比如@ApplicationScoped）来完成，这样不会触发DashboardManager的实例化。

步骤： #

1. 创建一个独立的登录检查Bean：

import javax.enterprise.context.ApplicationScoped;
import javax.faces.context.FacesContext;
import javax.inject.Named;
import javax.servlet.http.HttpSession;

@Named
@ApplicationScoped
public class LoginChecker {

    public boolean isUserLoggedIn() {
        FacesContext facesContext = FacesContext.getCurrentInstance();
        HttpSession session = (HttpSession) facesContext.getExternalContext().getSession(false);
        return session != null && session.getAttribute("loggedInUser") != null;
    }
}

2. 在dashboard.xhtml中替换preRenderView为<f:viewAction>，并设置execute="@none"（避免触发任何组件的请求处理，从而不实例化请求作用域的Bean）：

<f:metadata>
    <f:viewAction action="#{loginChecker.checkLogin}" execute="@none" />
</f:metadata>

3. 在LoginChecker中添加重定向逻辑：

public void checkLogin() {
    FacesContext facesContext = FacesContext.getCurrentInstance();
    if (!isUserLoggedIn()) {
        try {
            facesContext.getExternalContext().redirect(facesContext.getExternalContext().getRequestContextPath() + "/access-denied.xhtml");
            facesContext.responseComplete(); // 标记响应已完成，终止后续JSF流程
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

这个方案的优势是完全贴合JSF生态，但要注意execute="@none"的设置，确保不会触发DashboardManager的实例化。

方案对比 #

内容的提问来源于stack exchange，提问作者techJava