Spring Boot中如何为所有请求统一设置响应头？

我之前在项目里也碰到过类似的问题，用过滤器统一处理响应头确实是最直接的方式，但之前的方案效果不稳定大概率是没踩对几个关键细节——比如没选对过滤器类型、操作了错误的对象（请求头而非响应头），或者过滤器执行顺序有问题。下面给你一套经过验证的稳定实现方案：

1. 使用OncePerRequestFilter实现过滤器 #

别用普通的Filter接口，Spring提供的OncePerRequestFilter能保证每个请求只被过滤一次，避免在转发、包含等场景下重复处理响应头，这是稳定性的关键。

完整的过滤器代码示例：

import jakarta.servlet.FilterChain;
import jakarta.servlet.ServletException;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import org.springframework.core.Ordered;
import org.springframework.core.annotation.Order;
import org.springframework.stereotype.Component;
import org.springframework.web.filter.OncePerRequestFilter;

import java.io.IOException;

@Component
@Order(Ordered.HIGHEST_PRECEDENCE) // 设置最高优先级，避免被其他过滤器覆盖头信息
public class GlobalResponseHeaderFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        // 这里是核心：操作HttpServletResponse设置响应头，而不是请求头
        // 缓存控制相关头（对应你提到的禁用浏览器缓存需求）
        response.setHeader("Cache-Control", "no-cache, no-store, must-revalidate");
        response.setHeader("Pragma", "no-cache");
        response.setHeader("Expires", "0");
        
        // 可以添加其他安全或自定义响应头
        response.setHeader("X-Content-Type-Options", "nosniff");
        response.setHeader("X-Frame-Options", "DENY");

        // 一定要先设置头，再放行请求
        filterChain.doFilter(request, response);
    }
}

2. 关键注意事项 #

• 先设置头再放行：必须在filterChain.doFilter()之前设置响应头，否则请求处理完成后响应可能已经被提交，此时再设置头会无效。
• 优先级设置：用@Order(Ordered.HIGHEST_PRECEDENCE)让这个过滤器最先执行，防止后续过滤器覆盖你设置的响应头。
• 覆盖静态资源缓存：如果你的项目包含静态资源（JS/CSS/图片），Spring Boot默认会给这些资源加缓存头，这个过滤器会覆盖默认设置，确保所有请求（包括静态资源）都应用你的响应头规则。

3. 替代注册方式（不用@Component） #

如果你不想用@Component自动注册，也可以通过配置类手动注册过滤器：

import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.Ordered;

@Configuration
public class FilterConfig {

    @Bean
    public FilterRegistrationBean<GlobalResponseHeaderFilter> responseHeaderFilter() {
        FilterRegistrationBean<GlobalResponseHeaderFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new GlobalResponseHeaderFilter());
        registrationBean.addUrlPatterns("/*"); // 拦截所有请求
        registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
        return registrationBean;
    }
}

这样配置后，所有进入应用的请求都会被这个过滤器处理，响应头会稳定地被设置，不会出现之前的不稳定情况。

内容的提问来源于stack exchange，提问作者Giampiero Poggi