Spring Boot与Spring Security实现Onboarding过滤器遇重定向异常如何解决

你遇到的异常和异常跳转问题由以下两个核心错误导致：

• 重定向后未终止请求流程：sendRedirect()执行后已经将响应提交给客户端，你的代码没有终止流程，仍然继续执行chain.doFilter()，后续过滤器、Servlet对响应的修改会直接抛出IllegalStateException: Committed异常。
• 未排除目标路径导致循环重定向：你没有对/onboarding路径做白名单排除，重定向到该路径后会再次触发过滤器逻辑，形成无限重定向循环，最终响应内容异常变成可下载文件。
• 附加问题：直接从Session中读取Spring Security上下文容错性差，Session为空或者安全上下文不存在时会触发空指针异常。

修改过滤器代码如下，核心调整点为：新增路径白名单判断、重定向后直接终止过滤器链、优化安全上下文获取逻辑：

@Component
@Order(110)
public class OnboardingFilter implements Filter {

  @Override
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
      throws IOException, ServletException {

    HttpServletRequest httpRequest = (HttpServletRequest) request;
    HttpServletResponse httpResponse = (HttpServletResponse) response;
    String requestUri = httpRequest.getRequestURI();

    // 白名单：onboarding路径、公开静态资源、公开接口直接放行，避免循环重定向
    if (requestUri.startsWith("/onboarding") 
        || requestUri.startsWith("/static") 
        || requestUri.startsWith("/public")) {
      chain.doFilter(httpRequest, httpResponse);
      return;
    }

    // 从Spring Security上下文获取认证信息，无需手动读Session，容错性更高
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    // 判定为已登录非匿名用户
    if (authentication != null && authentication.isAuthenticated() 
        && !(authentication instanceof AnonymousAuthenticationToken)) {
      UserPrincipal principal = (UserPrincipal) authentication.getPrincipal();
      if (!principal.hasOnboarded()) {
        httpResponse.sendRedirect("/onboarding");
        // 重定向后直接返回，不再执行后续过滤器链
        return;
      }
    }

    // 不满足重定向条件，继续执行过滤器链
    chain.doFilter(httpRequest, httpResponse);
  }
}

如果你使用了Spring Security框架，更推荐将该过滤器注册到Spring Security的专属过滤器链中，放在用户名密码认证过滤器之后执行，不用单独配置全局@Order，可以避免和其他安全过滤器逻辑冲突。

内容的提问来源于stack exchange，提问作者Joaquín L. Robles