Spring Boot 如何避免文件全量上传后才校验安全规则？

这个问题的核心原因很明确：默认情况下，Spring的MultipartFilter会在Spring Security的过滤器链之前执行，导致文件先被完整上传到服务器，才会触发权限校验。对于大文件来说，这不仅浪费带宽和服务器资源，还给用户带来糟糕的体验。

最优解决方案是调整过滤器的执行顺序，让Spring Security的权限校验优先于文件上传处理。具体实现步骤如下：

1. 自定义MultipartFilter的注册配置 #

在Spring Boot 1.4.9中，你需要通过FilterRegistrationBean来手动指定MultipartFilter的执行顺序，确保它在Spring Security的过滤器链之后运行。

创建一个配置类，代码示例如下：

import org.springframework.boot.context.embedded.FilterRegistrationBean;
import org.springframework.boot.autoconfigure.security.SecurityProperties;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.multipart.support.MultipartFilter;

@Configuration
public class MultipartSecurityConfig {

    @Bean
    public MultipartFilter multipartFilter() {
        return new MultipartFilter();
    }

    @Bean
    public FilterRegistrationBean multipartFilterRegistration() {
        FilterRegistrationBean registration = new FilterRegistrationBean(multipartFilter());
        // Security过滤器的默认顺序是-100，让MultipartFilter紧随其后执行
        registration.setOrder(SecurityProperties.DEFAULT_FILTER_ORDER + 1);
        return registration;
    }
}

2. 原理说明 #

通过设置registration.setOrder(SecurityProperties.DEFAULT_FILTER_ORDER + 1)，我们把MultipartFilter的执行顺序调整为-99（因为SecurityProperties.DEFAULT_FILTER_ORDER的值是-100），这样Spring Security的权限校验过滤器会先处理请求：

• 如果权限校验不通过，直接返回错误响应，不会触发文件上传流程；
• 如果权限校验通过，才会进入文件上传的解析阶段，大大节省了不必要的资源消耗。

额外注意事项 #

• 如果你在项目中自定义了Spring Security过滤器链的顺序（比如修改了WebSecurityConfigurerAdapter的order），需要确保MultipartFilter的order值比自定义的Security过滤器order大1，保证执行顺序正确。
• 这种方案完全基于Spring的原生机制，不需要引入额外依赖，也不需要修改你的文件上传控制器逻辑，是最简洁高效的解决方案。

内容的提问来源于stack exchange，提问作者Alireza Farahani