Servlet Filter过滤器授权处理及API认证跳转异常问题求助

嗨，这个问题我太熟了——很多人在混用Web页面和API的过滤器时都会踩这个坑！核心原因是你的LoginFilter没区分页面请求和API请求，把两者都做了重定向处理，但API需要的是返回JSON/XML这类错误响应，而不是跳转页面。下面给你一套具体的解决方案：

1. 在Filter内区分请求类型（最推荐的灵活方案） #

首先要在doFilter方法里判断当前请求是API还是普通Web页面，常见的判断方式有三种，选适合你的就行：

• 根据请求路径前缀（比如所有API都以/api/开头）
• 根据请求头（比如API请求会携带Accept: application/json）
• 根据请求后缀（比如.json、.api结尾）

这里拿最常用的路径前缀判断举例子，修改你的LoginFilter代码：

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest req = (HttpServletRequest) request;
    HttpServletResponse res = (HttpServletResponse) response;
    
    // 判断是否为API请求（替换成你实际的API路径规则）
    boolean isApiRequest = req.getRequestURI().startsWith(req.getContextPath() + "/api/");
    
    // 获取当前登录用户（替换成你项目中实际获取登录状态的逻辑）
    Object loggedUser = req.getSession().getAttribute("loggedInUser");
    
    if (loggedUser == null) {
        if (isApiRequest) {
            // API未登录：返回401未授权的JSON响应，而非重定向
            res.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            res.setContentType("application/json;charset=UTF-8");
            res.getWriter().write("{\"code\":401,\"message\":\"未授权，请先登录\"}");
        } else {
            // 普通页面未登录：正常重定向到登录页
            res.sendRedirect(req.getContextPath() + "/login.jsp");
        }
    } else {
        // 已登录，放行请求
        chain.doFilter(request, response);
    }
}

2. 通过web.xml配置排除API路径（简单但灵活性稍弱） #

如果你不想在Filter代码里写判断逻辑，也可以直接在web.xml中让API请求跳过LoginFilter：

<filter>
    <filter-name>LoginFilter</filter-name>
    <filter-class>com.web.produ.LoginFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>LoginFilter</filter-name>
    <!-- 拦截所有页面请求 -->
    <url-pattern>/*.jsp</url-pattern>
    <url-pattern>/*.html</url-pattern>
    <!-- 这里可以继续添加需要拦截的页面路径 -->
</filter-mapping>
<!-- 注意：这种方式需要给API单独写一个权限过滤器，专门返回401状态码 -->

3. 额外注意事项 #

• 如果你的项目用了Spring MVC/Spring Boot，其实可以用@RestControllerAdvice配合拦截器来处理API授权，比原生Servlet Filter更简洁，但原生Servlet场景下上面的方法完全适用。
• 测试时一定要验证未登录状态下的API请求，确保返回的是401状态码和JSON响应，而不是跳转页面。
• 若API有跨域需求，记得在响应头中添加Access-Control-Allow-Origin等跨域相关字段，避免前端无法正常接收401响应。

内容的提问来源于stack exchange，提问作者sarfaraz Ahmed