Spring Security自定义过滤器失效：自动调用内置过滤器问题求助

看起来你遇到了Spring Security过滤器链配置的典型问题，我帮你梳理几个核心排查点和解决方案：

1. 确保自定义过滤器被Spring容器管理 #

首先你的自定义过滤器类需要被Spring识别，要么给过滤器类加上@Component注解，要么在配置类里用@Bean把它注入容器：

// 自定义过滤器示例
@Component
public class MyCustomFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        // 你的自定义逻辑
        System.out.println("自定义过滤器执行了");
        filterChain.doFilter(request, response); // 一定要继续执行过滤器链，否则后续内置过滤器会失效
    }
}

2. 正确在SecurityFilterChain中添加/替换过滤器 #

你的配置类需要构建SecurityFilterChain时，把自定义过滤器放到正确的位置。比如如果要插入到某个内置过滤器之前，或者替换默认过滤器：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Autowired
    private MyCustomFilter myCustomFilter;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            // 方式1：插入到指定内置过滤器之前（比如用户名密码认证过滤器）
            .addFilterBefore(myCustomFilter, UsernamePasswordAuthenticationFilter.class)
            // 方式2：替换内置过滤器（如果你的自定义过滤器继承了对应的内置过滤器）
            // .addFilterAt(myCustomFilter, UsernamePasswordAuthenticationFilter.class)
            .formLogin(form -> form.permitAll());

        return http.build();
    }
}

注意：如果你的自定义过滤器需要依赖Spring Security上下文（比如获取Authentication对象），一定要确保它的位置在SecurityContextPersistenceFilter之后，否则SecurityContext还未初始化，拿不到认证数据。

3. 检查过滤器链的执行顺序 #

Spring Security的过滤器链有固定的执行顺序，位置不对可能导致自定义过滤器不触发，或者内置过滤器失效。比如：

• 需在认证前执行的逻辑，放在UsernamePasswordAuthenticationFilter之前
• 需在认证后执行的逻辑，放在FilterSecurityInterceptor之前

可以添加以下代码打印过滤器链顺序，方便排查：

@Bean
public FilterChainProxySecurityFilterChainPostProcessor filterChainPostProcessor() {
    return (securityFilterChain, http) -> {
        System.out.println("当前过滤器链顺序：");
        securityFilterChain.getFilters().forEach(filter -> 
            System.out.println(filter.getClass().getSimpleName())
        );
        return securityFilterChain;
    };
}

4. 排查请求匹配规则 #

如果你的请求没有被Spring Security过滤器链拦截（比如配置了permitAll()或忽略路径），自定义过滤器也不会执行。检查你的authorizeHttpRequests配置，确保目标请求需要被过滤器链处理：

.authorizeHttpRequests(auth -> auth
    .requestMatchers("/api/**").authenticated() // 确保你的请求路径在认证范围内
    .anyRequest().permitAll()
)

如果按照上述步骤排查后仍有问题，可以把完整的自定义过滤器代码和配置类代码贴出来，我再帮你进一步分析。

内容的提问来源于stack exchange，提问作者Jitendra Gangwar