Spring Boot中如何正确设置多个Filter的执行顺序？

Question

在Spring Boot应用中，当需要配置多个Filter时，一个常见的问题是：如何正确设置这些Filter的执行顺序？由于Filter的执行顺序可能影响请求处理的逻辑，如鉴权、日志记录、跨域处理等，因此明确其调用顺序至关重要。默认情况下，Spring Boot会按照FilterRegistrationBean的注册顺序来执行Filter，但实际开发中可能会因自动装配顺序不确定而导致执行顺序不符合预期。那么，在Spring Boot中，如何确保多个Filter按照指定顺序执行？

Answer 1

一、Filter在Spring Boot中的作用与默认执行机制

在Spring Boot中，Filter（过滤器）是一种用于拦截请求并进行预处理或后处理的组件。常见的使用场景包括：

• 鉴权认证（如JWT验证）
• 日志记录（如请求时间、IP等信息）
• 跨域处理（CORS配置）
• 请求参数统一处理
• 响应内容包装

Filter的执行顺序直接影响业务逻辑的正确性。例如：如果鉴权Filter在日志Filter之前执行，那么即使请求被拒绝，日志Filter仍有机会记录相关信息。

在Spring Boot中，默认情况下，Filter的执行顺序是根据FilterRegistrationBean的注册顺序决定的。也就是说，我们通过编写多个@Bean方法返回不同的FilterRegistrationBean实例时，它们的执行顺序就是代码中定义的顺序。

二、问题背景：自动装配导致Filter顺序不确定

当Filter是通过自动装配的方式加载（如使用@Component注解），而不是显式地通过FilterRegistrationBean注册时，其执行顺序可能变得不可预测。

这是因为Spring Boot底层使用了ServletRegistrationBean和FilterRegistrationBean来注册Web组件，而这些Bean的加载顺序受Spring容器启动时的自动装配机制影响。

特别是在多模块项目或引入第三方库时，不同Filter之间的依赖关系不明确，可能会导致Filter顺序混乱，从而引发安全漏洞或功能异常。

三、解决方案详解

1. 显式使用FilterRegistrationBean控制顺序

这是最直接且推荐的做法。通过为每个Filter创建一个FilterRegistrationBean，并指定它们的顺序：

@Bean
public FilterRegistrationBean<LoggingFilter> loggingFilter() {
    FilterRegistrationBean<LoggingFilter> registration = new FilterRegistrationBean<>();
    registration.setFilter(new LoggingFilter());
    registration.addUrlPatterns("/*");
    registration.setOrder(1); // 设置优先级
    return registration;
}

@Bean
public FilterRegistrationBean<AuthFilter> authFilter() {
    FilterRegistrationBean<AuthFilter> registration = new FilterRegistrationBean<>();
    registration.setFilter(new AuthFilter());
    registration.addUrlPatterns("/*");
    registration.setOrder(2);
    return registration;
}
  

注意：setOrder()方法决定了Filter的执行顺序，数值越小越先执行。

2. 使用@Order注解（适用于基于注解的Filter）

如果你希望Filter类本身也能携带排序信息，可以结合@Order注解：

@Component
@Order(1)
public class LoggingFilter implements Filter {}
  

但需要注意的是，这种方式需要配合自定义的自动排序逻辑，或者使用特定框架支持（如Spring WebFlux），在Spring MVC中不一定生效。

3. 实现Ordered接口或继承OncePerRequestFilter

实现Ordered接口也是一种方式：

public class AuthFilter extends OncePerRequestFilter implements Ordered {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        // 鉴权逻辑
        filterChain.doFilter(request, response);
    }

    @Override
    public int getOrder() {
        return 2;
    }
}
  

这样可以在Filter内部直接定义执行顺序。

4. 使用FilterRegistrationBean结合Comparator排序

如果Filter数量较多，手动设置order容易出错，可以通过编程方式动态排序：

@Configuration
public class FilterConfig {

    @Autowired
    private List<FilterRegistrationBean<?>> filterBeans;

    @PostConstruct
    public void sortFilters() {
        filterBeans.sort(Comparator.comparingInt(f -> f.getOrder()));
    }
}
  

这种方式适合大型项目中集中管理Filter顺序。

四、Filter执行顺序示意图

下面是一个简单的流程图，展示多个Filter按照设定顺序依次执行的过程：

graph TD
    A[Client Request] --> B[LoggingFilter]
    B --> C[AuthFilter]
    C --> D[CORSFilter]
    D --> E[YourController]
    E --> F[Response]
  

从图中可以看出，请求首先经过LoggingFilter，然后是AuthFilter，最后是CORSFilter，再进入真正的控制器处理逻辑。

五、常见误区与注意事项

误区	解释
认为@Component自动注册的Filter顺序可控	Spring Boot不会对@Component注册的Filter保证顺序，除非手动干预
忽略OncePerRequestFilter的作用	该类确保Filter在整个请求周期中只执行一次，避免重复调用
错误理解setOrder的含义	数值越小越先执行，不是越大越早