Spring Boot自定义Spring Security过滤器运行时未触发问题排查

我之前也碰到过几乎一模一样的场景，咱们一步步拆解你可能遗漏的关键配置点：

1. 过滤器的拦截路径与注册位置是否正确 #

不管继承UsernamePasswordAuthenticationFilter还是AbstractAuthenticationProcessingFilter，首先要确保过滤器监听了前端请求的正确路径，并且被正确加入到Security过滤器链中：

• 继承AbstractAuthenticationProcessingFilter时，构造器必须指定匹配的请求路径和方法：

  public JWTAuthenticationFilter() {
      // 替换成你前端实际调用的登录接口路径，比如/api/auth/login
      super(new AntPathRequestMatcher("/api/login", "POST"));
  }
  

• 在Security配置类中，要把自定义过滤器放到正确的位置（比如替换掉默认的表单登录过滤器，或者放在它之前）：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http, JWTAuthenticationFilter jwtAuthFilter) throws Exception {
      http
          // 禁用默认的表单登录，避免冲突
          .formLogin(form -> form.disable())
          // 将自定义过滤器加入链中，替换默认的UsernamePasswordAuthenticationFilter
          .addFilterAt(jwtAuthFilter, UsernamePasswordAuthenticationFilter.class)
          .authorizeHttpRequests(auth -> auth
              // 确保登录接口允许匿名访问，否则过滤器还没触发就被拦截
              .requestMatchers("/api/login").permitAll()
              .anyRequest().authenticated());
      return http.build();
  }
  

2. 未正确解析JSON格式的请求体 #

UsernamePasswordAuthenticationFilter默认只支持表单参数（x-www-form-urlencoded），如果前端传的是JSON，你必须在自定义过滤器中手动解析请求体：

@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
    // 只处理POST请求
    if (!request.getMethod().equals("POST")) {
        throw new AuthenticationServiceException("不支持的认证请求方法: " + request.getMethod());
    }
    
    // 读取并解析JSON请求体
    try (InputStream is = request.getInputStream()) {
        ObjectMapper mapper = new ObjectMapper();
        LoginCredentials credentials = mapper.readValue(is, LoginCredentials.class);
        
        // 构造认证Token，交给AuthenticationManager处理（包括你的LDAP Provider）
        UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(
            credentials.getUsername(),
            credentials.getPassword()
        );
        setDetails(request, authToken);
        return getAuthenticationManager().authenticate(authToken);
    } catch (IOException e) {
        throw new AuthenticationServiceException("解析认证请求体失败", e);
    }
}

// 自定义接收用户名密码的DTO
record LoginCredentials(String username, String password) {}

3. 前端请求的Content-Type是否正确 #

一定要确保React前端发送POST请求时，设置了Content-Type: application/json请求头，否则后端可能无法识别请求体格式，导致过滤器无法正确解析参数。

4. AuthenticationManager是否集成了你的LDAP Provider #

如果你的自定义过滤器触发了，但认证逻辑没走LDAP，要检查AuthenticationManager是否包含了你的LDAP认证Provider：

@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
    return authConfig.getAuthenticationManager();
}

// 确保你的LDAP Provider被正确注册
@Bean
public AuthenticationProvider ldapAuthenticationProvider() {
    LdapAuthenticationProvider provider = new LdapAuthenticationProvider(yourLdapAuthenticator(), yourLdapAuthoritiesPopulator());
    // 其他LDAP配置...
    return provider;
}

然后在自定义过滤器中注入AuthenticationManager：

@Autowired
@Override
public void setAuthenticationManager(AuthenticationManager authenticationManager) {
    super.setAuthenticationManager(authenticationManager);
}

最后排查小技巧 #

可以在过滤器的attemptAuthentication方法开头加个日志输出，或者打个断点，确认过滤器是否真的没被触发——如果没触发，优先检查路径匹配和过滤器链注册；如果触发了但解析失败，再排查JSON解析和请求头的问题。

内容的提问来源于stack exchange，提问作者Mikyjpeg