Spring MVC（二）-过滤器与拦截器

过滤器和拦截器在职责和使用场景上存在一些差异。

	过滤器	拦截器
作用	对请求进行预处理和后处理。例如过滤请求参数、设置字符编码。	拦截用户请求并进行相应处理。例如权限验证、用户登陆检查等。
工作级别	Servlet容器级别，是Tomcat服务器创建的对象。可以拦截任何资源。	是Spring MVC容器的对象。只会对控制器中的方法进行拦截。
执行时机	在请求到达DispatcherServlet之前就开始执行，可以在请求被任何Spring MVC组件处理之前对请求进行修改或处理。	请求处理前、请求处理后，视图渲染前、整个请求完成后
使用场景	通常用于跨多个Controller的通用逻辑处理或者全局性的处理。例如日志记录、请求参数校验等。	用于对特定的Controller或者请求进行拦截，执行一些全局性的逻辑处理。例如权限验证。

表过滤器与拦截器的对比

1 过滤器

图 javax.servlet.Filter 的UML

init 在Servlet容器启动时执行，destory在Servlet容器关闭时执行。

@WebFilter(urlPatterns = "/user/*")
public class UserInfoFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        System.out.println("filter doFilter 1"); // 处理器之前执行
        chain.doFilter(request,response); // 没有这条语句，则请求不会到处理器
        System.out.println("filter doFilter 2"); // 处理器之后执行
    }
}

OncePerRequestFilter 是Spring提供的一个常用的过滤器，其作用是确保一次HTTP请求期间只执行一次特定的过滤器逻辑，避免过滤器逻辑重复执行，提高系统的性能和效率。

图 OncePerRequestFilter 的doFilter方法

spring-web 定义了一些继承于OncePerRequestFilter的过滤器。

1.1 HttpPutFormContentFilter

主要作用是自动封装前端传递过来的PUT请求参数。在Spring MVC中，默认只有POST请求的表单数据（content-type为application/x-www-form-urlencoded）会被解析，而PUT、PATCH和DELETE请求的表单数据则不会被解析。配置了HttpPutFormContentFilter后，这三种类型的请求表单数据可以被正确解析。

(Spring 5.1开始，其被FormContentFilter 所取代，不仅支持PUT请求，还支持POST、PATCH和DELETE等表单数据解析)

图 HttpPutFormContentFilter的doFilterInternal方法

1.2 ForwardedHeaderFilter

检查请求中是否存在转发头，如果存在，则解析这个字段并提取信息。然后，使用这些信息来修改请求的主机、端口和方案，以便后续的请求处理能够基于更准确的源信息。

然后，使用转发头需要注意安全问题，因为程序无法确定这些头字段是由预期的代理服务器添加还是被恶意的客户端伪造。因此，通常建议配置信任的代理服务器来添加或删除这些不信任的外部头字段。此外也可以将其配置为只删除而不使用这些标头。

1.3 ShallowEtagHeaderFilter

是一个支持ETag的过滤器。ETag是指被请求变量的实体值，是一个可以与Web资源关联的记号，Web资源可以是一个Web页，也可以是JSON或XML文档。服务器负责判断记号是什么，并在HTTP响应头中将其传送到客户端。

过滤器的主要作用是根据响应中缓存的内容创建Shallow ETag并计算MD5，当客户端下一次发送请求时，会执行相同操作，并将计算的值与if-None-Match请求头进行比较，如果相等，则返回304（表示资源没有发送变化）。

该过滤器只能节省带宽，并不能提高服务器性能，因为它必须为每个请求计算完整的响应。

2 拦截器

图 Spring的HandlerInterceptor UML

preHandle: 在处理器方法被调用之前执行，如果返回false，则拦截链下的其他拦截器将不会被执行，处理器也不会被执行。

postHandle: 在处理器方法执行完后、视图渲染前执行。

afterCompletion: 在请求完全执行完后执行。通常用于清理工作。

2.1 拦截器原理

拦截器是基于AOP思想实现，但在实现细节上并不是直接通过Spring AOP的代理机制来完成。而是通过Spring MVC的内部机制来实现。在DispatcherServlet的请求处理中被集成及调用。

HandlerInterceptorRegistry	注册和管理拦截器。
HandlerMapping	根据请求找到对应的处理器，在其实现类中，会考虑将已注册的拦截器和处理器一起封装成一个HandlerExecutionChain对象。
HandlerAdapter	负责调用处理器（Controller方法）。在调用处理器之前和之后，会与拦截器进行交互，确保拦截器的preHandle、postHandle等方法在正确时机被调用。
DispatcherServlet	负责处理所有的请求。在请求处理流程中，会根据HandlerMapping 找到HandlerExecutionChain,然后依次调用链中拦截器的preHandle方法。处理器执行完毕后，会调用postHandle方法，最后调用afterCompletion方法。