Spring Boot+GAE中Firebase异步认证后FilterChain无法继续问题

我来帮你梳理这个问题的排查方向和解决方案，结合Spring Security和Google App Engine的特性，大概率是过滤器链的上下文设置、注册顺序或者环境适配的问题：

1. 确保认证成功后正确设置安全上下文 #

你的FirebaseFilter继承了OncePerRequestFilter，认证通过后必须正确初始化并设置SecurityContext，否则后续过滤器链会认为请求未认证而拦截。这里要注意线程安全问题，不要直接复用默认上下文：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String token = request.getHeader(HEADER_NAME);
    if (token != null && !token.isBlank()) {
        try {
            // 调用自定义认证提供者完成token验证
            Authentication auth = firebaseAuthProvider.authenticate(new UsernamePasswordAuthenticationToken(token, null));
            if (auth.isAuthenticated()) {
                // 关键：创建新的安全上下文，避免线程污染
                SecurityContext securityContext = SecurityContextHolder.createEmptyContext();
                securityContext.setAuthentication(auth);
                SecurityContextHolder.setContext(securityContext);
                logger.info("Firebase token authenticated for user: {}", auth.getName());
            }
        } catch (AuthenticationException e) {
            logger.warn("Invalid Firebase token: {}", e.getMessage());
            // 如果是需要认证的接口，这里可以返回401；如果是公共接口，继续执行过滤器链即可
            // response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid token");
            // return; // 不要随便return，除非明确要拦截
        }
    }
    // 重中之重：必须调用这行代码，否则请求会被过滤器拦截，无法到达控制器
    filterChain.doFilter(request, response);
}

划重点：哪怕认证失败或者没有token，只要不是需要强制拦截的场景，一定要调用filterChain.doFilter让请求继续往下走！

2. 检查过滤器的注册顺序和路径匹配 #

Spring Security的过滤器顺序直接影响上下文的生效时机，你的FirebaseFilter必须在Spring Security的核心认证过滤器之前执行。推荐通过SecurityFilterChain来配置，比FilterRegistrationBean更贴合Spring Security的逻辑：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http, FirebaseFilter firebaseFilter) throws Exception {
    http
        // 将Firebase过滤器放在UsernamePasswordAuthenticationFilter之前
        .addFilterBefore(firebaseFilter, UsernamePasswordAuthenticationFilter.class)
        .authorizeHttpRequests(auth -> auth
            // 配置哪些路径需要认证，哪些可以匿名访问
            .requestMatchers("/public/**").permitAll()
            .anyRequest().authenticated()
        )
        // 禁用不需要的默认配置（比如表单登录、HTTP Basic），避免冲突
        .formLogin(form -> form.disable())
        .httpBasic(basic -> basic.disable());
    return http.build();
}

如果用FilterRegistrationBean，一定要设置正确的优先级和路径：

@Bean
public FilterRegistrationBean<FirebaseFilter> firebaseFilterRegistration(FirebaseFilter firebaseFilter) {
    FilterRegistrationBean<FirebaseFilter> registration = new FilterRegistrationBean<>();
    registration.setFilter(firebaseFilter);
    registration.addUrlPatterns("/api/**"); // 只拦截需要认证的API路径
    registration.setOrder(Ordered.HIGHEST_PRECEDENCE); // 确保优先级最高
    return registration;
}

3. 验证自定义认证提供者的返回值 #

你的FirebaseAuthProvider在authenticate方法中，必须返回一个已认证状态的Authentication对象（isAuthenticated()返回true），否则哪怕过滤器设置了上下文，后续安全逻辑也会判定为未认证。示例代码：

@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    String token = authentication.getPrincipal().toString();
    try {
        // 调用Firebase Admin SDK验证token
        FirebaseToken decodedToken = FirebaseAuth.getInstance().verifyIdToken(token);
        String uid = decodedToken.getUid();
        // 返回已认证的Authentication，权限列表可以根据业务需求设置
        return new UsernamePasswordAuthenticationToken(uid, null, Collections.emptyList());
    } catch (FirebaseAuthException e) {
        // 抛出Spring Security的认证异常，不要返回null
        throw new BadCredentialsException("Invalid Firebase token", e);
    }
}

4. 适配Google App Engine的环境特性 #

GAE标准环境的线程模型和本地有所不同，SecurityContextHolder默认的ThreadLocal策略可能会导致上下文丢失。可以尝试修改为可继承的线程上下文策略：

@PostConstruct
public void initSecurityContextStrategy() {
    SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);
}

另外检查app.yaml的handlers配置，确保没有设置会提前拦截请求的规则（比如secure: always是否符合你的请求协议，或者路由规则是否覆盖了控制器路径）。

5. 排查过滤器链的具体异常 #

既然你说过滤器和认证提供者运行正常，但执行filterChain.doFilter时抛错，一定要加日志打印异常栈，定位具体错误：

private static final Logger logger = LoggerFactory.getLogger(FirebaseFilter.class);

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String requestUri = request.getRequestURI();
    logger.info("Processing request: {}", requestUri);
    try {
        // 你的认证逻辑
        filterChain.doFilter(request, response);
        logger.info("Request successfully passed filter chain: {}", requestUri);
    } catch (Exception e) {
        logger.error("Error occurred in filter chain for request: {}", requestUri, e);
        // 不要吞掉异常，重新抛出让Spring处理或者返回错误响应
        throw e;
    }
}

然后去Google Cloud Logging查看完整的异常栈，看是Spring Security的后续过滤器（比如ExceptionTranslationFilter）抛出的，还是其他自定义组件的问题。

6. 避免重复注册过滤器 #

如果同时通过SecurityFilterChain和FilterRegistrationBean注册了同一个FirebaseFilter，会导致过滤器被执行两次，可能引发上下文冲突。建议只使用一种方式注册过滤器，优先用SecurityFilterChain。

内容的提问来源于stack exchange，提问作者icamti