在spring security中，我们经常需要自定义过滤器来处理特定的认证或授权逻辑，例如jwt认证。然而，默认情况下，通过httpsecurity.addfilterbefore()或addfilterat()添加的过滤器会作用于所有进来的http请求。对于jwt认证而言，通常我们只希望它对受保护的api路径（例如/api/**）生效，而对静态资源、登录页面或公共接口则无需进行jwt验证。本文将介绍如何利用spring security提供的abstractauthenticationprocessingfilter和requestmatcher接口，实现jwt过滤器的精确控制。
挑战：全局过滤器与局部需求
当我们将一个自定义JWT过滤器（例如CustomJwtAuthenticationFilter）通过以下方式添加到安全链中时：
http.addFilterBefore(customJwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
这个customJwtAuthenticationFilter将会在UsernamePasswordAuthenticationFilter之前，对所有进入应用的请求进行处理。这意味着即使是访问/login、/或任何非API路径，该过滤器也会被触发，这不仅可能导致不必要的性能开销，还可能在某些情况下抛出异常（例如，尝试从没有JWT的请求头中解析令牌）。
解决方案：AbstractAuthenticationProcessingFilter与RequestMatcher
Spring Security提供了一个抽象类AbstractAuthenticationProcessingFilter，它专门用于处理基于请求匹配的认证流程。这个类的核心在于其构造函数可以接收一个RequestMatcher对象。当一个请求到达时，AbstractAuthenticationProcessingFilter会首先调用其内部的RequestMatcher的matches()方法。只有当matches()方法返回true时，过滤器才会继续执行其认证逻辑（即调用attemptAuthentication()方法）；否则，它会直接跳过认证过程，将请求传递给安全链中的下一个过滤器。
RequestMatcher是一个接口，它定义了如何根据HttpServletRequest来判断一个请求是否匹配特定条件。Spring Security提供了多种RequestMatcher的实现，其中最常用的是：
- AntPathRequestMatcher：基于Ant风格路径模式匹配URL。
- OrRequestMatcher：将多个RequestMatcher组合，只要有一个匹配就返回true。
- AndRequestMatcher：将多个RequestMatcher组合，只有所有都匹配才返回true。
- NegatedRequestMatcher：对另一个RequestMatcher的结果取反。
实现步骤
我们将通过以下步骤实现JWT过滤器的精确控制：
1. 改造 CustomJwtAuthenticationFilter
让你的JWT认证过滤器继承AbstractAuthenticationProcessingFilter，并在构造函数中接收RequestMatcher和AuthenticationManager。
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter;
import org.springframework.security.web.util.matcher.RequestMatcher;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
/**
* 自定义JWT认证过滤器，仅对匹配特定RequestMatcher的请求进行处理。
*/
public class CustomJwtAuthenticationFilter extends AbstractAuthenticationProcessingFilter {
/**
* 构造函数。
* @param requiresAuthenticationRequestMatcher 定义哪些请求需要此过滤器处理的RequestMatcher
* @param authenticationManager 认证管理器，用于执行认证逻辑
*/
public CustomJwtAuthenticationFilter(RequestMatcher requiresAuthenticationRequestMatcher, AuthenticationManager authenticationManager) {
super(requiresAuthenticationRequestMatcher); // 将RequestMatcher传递给父类
setAuthenticationManager(authenticationManager); // 设置认证管理器
}
/**
* 实现JWT认证的核心逻辑。
* 只有当RequestMatcher匹配时，此方法才会被调用。
*/
@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)
throws AuthenticationException, IOException, ServletException {
// 在这里实现你的JWT解析和认证逻辑
// 例如：从请求头中获取JWT令牌
String authorizationHeader = request.getHeader("Authorization");
if (authorizationHeader == null || !authorizationHeader.startsWith("Bearer ")) {
// 如果没有Bearer Token，抛出认证异常，或返回null让后续认证机制处理
throw new AuthenticationException("Missing or invalid JWT token in Authorization header") {};
}
String jwtToken = authorizationHeader.substring(7); // 提取JWT字符串
// TODO: 根据你的JWT库和业务逻辑验证jwtToken，并构建一个Authentication对象
// 例如：
// JwtAuthenticationToken authenticationToken = new JwtAuthenticationToken(jwtToken);
// return getAuthenticationManager().authenticate(authenticationToken); // 委托给AuthenticationManager进行认证
// 示例：此处仅为演示，实际应替换为你的JWT验证逻辑
System.out.println("Processing JWT for path: " + request.getRequestURI());
// 假设成功验证并返回一个Authentication对象
// return new UsernamePasswordAuthenticationToken("user", null, Collections.emptyList());
throw new UnsupportedOperationException("JWT认证逻辑待实现，请替换为实际的令牌验证和用户身份构建。");
}
// 可选：重写successfulAuthentication和unsuccessfulAuthentication方法来处理认证成功或失败后的逻辑
// @Override
// protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult) throws IOException, ServletException {
// super.successfulAuthentication(request, response, chain, authResult);
// // 认证成功后继续过滤器链
// chain.doFilter(request, response);
// }
// @Override
// protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException failed) throws IOException, ServletException {
// // 认证失败处理，例如返回401 Unauthorized
// response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
// response.getWriter().write("Authentication Failed: " + failed.getMessage());
// }
}2. 定义 RequestMatcher
针对“只过滤/api/**路径”的需求，我们可以使用AntPathRequestMatcher。
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.RequestMatcher;
import org.springframework.security.web.util.matcher.OrRequestMatcher;
import java.util.Arrays;
import java.util.List;
import java.util.stream.Collectors;
// 简单匹配单个路径模式
// RequestMatcher apiRequestMatcher = new AntPathRequestMatcher("/api/**");
// 如果需要匹配多个路径模式，可以使用OrRequestMatcher
// RequestMatcher multiPathMatcher = new OrRequestMatcher(
// new AntPathRequestMatcher("/api/v1/**"),
// new AntPathRequestMatcher("/secure/**")
// );3. 配置 Spring Security
在你的安全配置类（通常是继承WebSecurityConfigurerAdapter或使用SecurityFilterChain）中，将改造后的CustomJwtAuthenticationFilter作为Bean注入，并添加到安全链中。
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.RequestMatcher;
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
// 假设你有一个JwtAuthenticationEntryPoint处理认证失败的入口点
// @Autowired
// private JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint;
// 假设你有一个UserDetailsService用于加载用户详情（如果JWT认证需要）
// @Autowired
// private UserDetailsService userDetailsService;
/**
* 配置HTTP安全策略。
*/
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable() // 禁用CSRF，因为JWT是无状态的
.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS) // 设置会话管理为无状态
.and()
// .exceptionHandling().authenticationEntryPoint(jwtAuthenticationEntryPoint).and() // 配置认证入口点处理未认证请求
.authorizeRequests()
.antMatchers("/api/**").authenticated() // 明确指定 /api/** 路径需要认证
.anyRequest().permitAll() // 其他所有请求都允许访问
.and()
// 将我们定制的JWT过滤器添加到UsernamePasswordAuthenticationFilter之前
.addFilterBefore(customJwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
}
/**
* 将CustomJwtAuthenticationFilter注册为Spring Bean。
* 注意：这里需要捕获AuthenticationManagerBean()抛出的异常。 
