在JHipster过滤器链新增余额校验Servlet Filter的方案是否正确？

你的实现方案存在明显漏洞，无法满足全接口的余额校验需求，具体问题和修正方案如下：

核心问题 #

• 过滤器触发范围错误：UsernamePasswordAuthenticationFilter仅处理用户名密码登录的特定请求（默认是POST /login），其余业务接口的请求根本不会进入该过滤器，你把BalanceFilter加在它之后，只会在登录请求时触发余额校验，其他携带JWT的业务接口完全不会走你的校验逻辑，完全不符合需求。
• 你提到的「UsernamePasswordAuthenticationFilter执行顺序在JWTFilter之后」仅说明顺序逻辑正确，但触发范围的问题是致命缺陷。

正确实现方案 #

直接将过滤器添加到JWTFilter之后即可，修改配置代码如下：

@Override
public void configure(HttpSecurity http) {
    // 注意：如果BalanceFilter需要注入BalanceRepository等Spring Bean，不要直接new，要从Spring上下文获取实例
    BalanceFilter balanceFilter = new BalanceFilter();
    http.addFilterAfter(balanceFilter, JWTFilter.class);
}

额外注意事项 #

• 校验逻辑里直接从SecurityContextHolder.getContext().getAuthentication()获取已认证的用户信息即可，不需要重复解析JWT，只有这个对象不为空时才执行余额查询，避免公开接口触发空指针。
• 可以配置白名单跳过不需要校验的路径（比如静态资源、公开接口、验证码接口等），减少不必要的数据库查询。
• 返回402状态码时建议匹配JHipster默认的错误响应格式，设置响应头Content-Type: application/problem+json，避免前端解析异常。
• 如果BalanceFilter需要用到Spring托管的Bean（比如BalanceRepository），务必将过滤器本身交给Spring管理，通过注入的方式获取实例，不要自己new，否则注入的Bean会为空。

内容的提问来源于stack exchange，提问作者1977