Spring Boot自定义Header校验过滤器返回错误后如何终止后续请求处理

响应被覆盖、过滤器未终止的原因 #

response.sendError()和flushBuffer()仅完成响应内容的写入和提交，没有终止过滤器链的传递逻辑。如果你的自定义Filter在校验失败后仍然调用了filterChain.doFilter(request, response)，或者Spring Security的异常处理过滤器捕获到后续认证流程抛出的未认证异常，就会触发默认的302重定向到登录页逻辑，直接覆盖你已经写入的401响应。

大量/oauth2/authorization/google请求的原因 #

重定向到OAuth2授权地址的响应返回给浏览器后，浏览器会自动发起该地址的跳转请求，而该授权地址同样会被你的自定义Header校验逻辑拦截，再次返回302重定向到授权地址，最终形成无限重定向循环，就会产生大量重复请求日志。

• 终止过滤器链传递：自定义Filter的校验失败分支中，写入401响应后不要调用filterChain.doFilter，直接return即可终止所有后续过滤器的执行，避免响应被覆盖。示例逻辑如下：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    if (testModeEnable) {
        String headerVal = request.getHeader("TestMode");
        if (!Objects.equals(presetVal, headerVal)) {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            response.setContentType("application/json;charset=utf-8");
            response.getWriter().print("TestMode header is invalid");
            response.flushBuffer();
            // 直接返回，不调用doFilter，终止链执行
            return;
        }
    }
    // 仅校验通过时才传递到后续过滤器
    filterChain.doFilter(request, response);
}

• 配置校验白名单：将/oauth2/authorization/*、登录页等不需要校验TestMode头的路径加入白名单，在校验逻辑中直接放行这类路径的请求，避免触发无限重定向。
• 确认过滤器优先级：在SecurityConfig中确认用addFilterBefore方法将自定义Filter配置在SecurityContextPersistenceFilter之前执行，配置示例：

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.addFilterBefore(testModeCheckFilter(), SecurityContextPersistenceFilter.class)
            // 其余安全配置保持不变
            .oauth2Login(Customizer.withDefaults());
        return http.build();
    }
}

内容的提问来源于stack exchange，提问作者Priyshrm