Spring Security过滤器在无安全配置端点仍被触发的问题

我来帮你捋清楚这个问题——其实你遇到的核心问题是自定义过滤器的注册范围和Spring Security的过滤器链逻辑没匹配上，导致它变成了全局生效的过滤器，不管有没有配置安全策略的端点都会被触发。下面给你拆解原因和解决办法：

先搞懂问题根源 #

你提到移除/保留spring-boot-starter-security、禁用自动配置都试过，但过滤器还是全局生效，大概率是因为：

• 如果你用@WebFilter或者FilterRegistrationBean直接注册过滤器，Spring Boot会把它当成全局过滤器，对所有进入应用的请求生效，和Spring Security的配置完全无关——哪怕你某个端点没配置安全策略，请求进来还是会先经过这个全局过滤器。
• 就算你禁用了Spring Security的自动配置，全局过滤器的注册逻辑是Spring Boot自身的，不会受Security的影响。

解决方案1：限制全局过滤器的拦截路径 #

如果你只是想让过滤器针对特定端点生效，不需要整合到Security链里，可以直接在注册时指定拦截路径：

方式一：用FilterRegistrationBean注册（推荐，更灵活） #

@Configuration
public class FilterConfig {
    @Bean
    public FilterRegistrationBean<MyCustomFilter> myCustomFilterRegistration() {
        FilterRegistrationBean<MyCustomFilter> registration = new FilterRegistrationBean<>();
        registration.setFilter(new MyCustomFilter());
        // 只拦截你需要的路径，比如/api/**
        registration.addUrlPatterns("/api/**");
        // 设置执行顺序，避免和其他过滤器冲突（值越小越先执行）
        registration.setOrder(Ordered.LOWEST_PRECEDENCE);
        return registration;
    }
}

方式二：用@WebFilter注解 #

如果你习惯用注解注册，直接加上urlPatterns属性：

// 只拦截/api开头的请求
@WebFilter(urlPatterns = "/api/**")
public class MyCustomFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        // 你的过滤逻辑
        chain.doFilter(request, response);
    }
}

注意：用@WebFilter的话，需要在启动类上加@ServletComponentScan才能生效。

解决方案2：把过滤器整合到Spring Security过滤器链（安全场景推荐） #

如果你的过滤器是和安全校验相关的，更推荐把它加入到Spring Security的过滤器链中，这样就能通过Security的配置精准控制哪些端点应用这个过滤器：

1. 先确保你引入了Spring Security依赖（如果之前移除了，加回来）：

<!-- Maven pom.xml -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 编写Security配置类，把自定义过滤器添加到链中指定位置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 配置不需要验证的公开端点
                .requestMatchers("/public/**", "/health").permitAll()
                // 其他所有端点需要身份验证
                .anyRequest().authenticated()
            )
            // 将自定义过滤器添加到UsernamePasswordAuthenticationFilter之前
            // 你也可以用addFilterAfter/addFilterAt来调整位置
            .addFilterBefore(new MyCustomFilter(), UsernamePasswordAuthenticationFilter.class);
        
        return http.build();
    }
}

这样配置后，自定义过滤器只会对经过Security过滤器链的请求生效，而且你可以通过requestMatchers来控制哪些路径需要经过这个过滤器（比如公开路径虽然会走过滤器链，但你可以在过滤器里判断路径跳过逻辑，或者Security的配置会让它们直接通过）。

额外排查小技巧 #

• 查看过滤器注册情况：启动应用时，在日志里搜索FilterRegistrationBean，可以看到所有注册的过滤器、它们的拦截路径和执行顺序，方便排查冲突。
• 调整过滤器顺序：如果你的过滤器总是在Security过滤器之前执行，导致公开路径也被拦截，可以通过setOrder（全局过滤器）或者Security的过滤器位置调整来改变执行顺序。

内容的提问来源于stack exchange，提问作者Ciro Santos