如何使用Filter实现登录验证？解决Filter提前执行等相关问题

我来帮你理清这些关于Filter登录验证的问题，一步步拆解：

1. 为什么你的Filter总是率先执行，如何让它只在需要验证的场景下工作？ #

Filter默认会拦截你配置的所有请求，现在你的问题应该是它拦截了登录页面本身，导致用户还没登录就被跳转到错误页了。要解决这个问题，你需要调整Filter的拦截规则，让它只拦截需要权限的资源（比如登录后的主页、用户中心等），同时放行登录相关的请求（登录页面、登录提交的Servlet）。

具体实现方法： #

• 如果用注解配置Filter，指定拦截路径为受保护的资源：

@WebFilter(urlPatterns = {"/home/*", "/user/*", "/dashboard/*"}) // 只拦截这些需要权限的路径
public class LoginFilter implements Filter {
    // ... 你的doFilter代码
}

• 或者在web.xml里配置：

<filter>
    <filter-name>LoginFilter</filter-name>
    <filter-class>com.yourpackage.LoginFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>LoginFilter</filter-name>
    <url-pattern>/home/*</url-pattern>
    <url-pattern>/user/*</url-pattern>
</filter-mapping>

另外，也可以在doFilter方法里手动判断请求路径，直接放行登录相关请求：

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    System.out.println("I'm in the filter");
    HttpServletRequest request2 = (HttpServletRequest) request;
    String requestURI = request2.getRequestURI();
    
    // 放行登录页面和登录提交的Servlet，不用检查session
    if (requestURI.endsWith("Login.html") || requestURI.endsWith("LoginServlet")) {
        chain.doFilter(request, response);
        return;
    }
    
    // 剩下的逻辑：检查session是否有登录用户
    HttpSession session = request2.getSession();
    Object obj = session.getAttribute("user");
    if(obj == null) {
        // 未登录，跳回登录页（比跳错误页更友好）
        request.getRequestDispatcher("Login.html").forward(request,response);
    } else {
        chain.doFilter(request,response);
    }
}

2. 如何正确用Filter实现登录验证？ #

正确的流程应该是：

• Filter负责权限拦截：检查用户是否已登录（通过session中的user对象），未登录则跳登录页，已登录则放行请求。
• Servlet负责业务逻辑：处理表单提交的用户名和密码验证，验证通过后将用户信息存入session。

举个LoginServlet的示例（处理你的POST表单）：

public class LoginServlet extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        String username = request.getParameter("uname");
        String password = request.getParameter("psw");
        
        // 这里模拟数据库验证，实际项目中要查数据库或者调用Service层
        if("your_valid_username".equals(username) && "your_valid_password".equals(password)) {
            // 验证通过，把用户信息存入session（可以存User实体类，更规范）
            request.getSession().setAttribute("user", username);
            // 登录成功，跳转到受保护的主页
            response.sendRedirect("home.html");
        } else {
            // 验证失败，回登录页并提示错误
            request.setAttribute("error", "用户名或密码错误");
            request.getRequestDispatcher("Login.html").forward(request, response);
        }
    }
}

3. 表单可以直接提交给Filter吗？还是必须通过Servlet中转？ #

不建议直接提交给Filter！Filter的核心职责是拦截和过滤请求（比如权限检查、日志记录、编码处理等），而表单提交的业务逻辑（比如验证用户名密码、和数据库交互）应该放在Servlet（或者Service层）中处理。

正确的流程是：

用户填写表单 → 提交到LoginServlet → Servlet验证账号密码 → 成功则写入session → 后续访问受保护资源时，Filter检查session并放行

4. 如何在Filter中校验数据？ #

如果是简单的参数校验（比如检查表单参数是否为空），Filter可以实现，但这不属于Filter的核心职责，更建议放在Servlet里做。如果一定要在Filter中处理，可以这样写：

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest request2 = (HttpServletRequest) request;
    String requestURI = request2.getRequestURI();
    
    // 只对登录提交的POST请求做参数校验
    if (request2.getMethod().equalsIgnoreCase("POST") && requestURI.endsWith("LoginServlet")) {
        String username = request2.getParameter("uname");
        String password = request2.getParameter("psw");
        
        // 检查参数是否为空
        if (username == null || username.trim().isEmpty() || password == null || password.trim().isEmpty()) {
            request.setAttribute("error", "用户名或密码不能为空");
            request.getRequestDispatcher("Login.html").forward(request, response);
            return;
        }
    }
    
    // 后续的拦截逻辑...
    chain.doFilter(request, response);
}

内容的提问来源于stack exchange，提问作者pedrosarkis