Spring Boot Security：为特定URL模式定制JWT认证过滤器-小浪学习网

Spring Boot Security：为特定URL模式定制JWT认证过滤器

针对spring Boot Security中JWT过滤器默认应用于所有URL的问题，本文详细阐述如何通过扩展AbstractAuthenticationProcessingFilter并结合RequestMatcher，实现JWT过滤器仅对 /api/** 等指定URL模式生效，从而提供更精细化的安全控制。通过此方法，开发者可以精确地控制哪些请求需要JWT认证，避免不必要的性能开销和逻辑复杂性。

在spring boot应用程序中集成JWT（json Web Token）进行认证时，一个常见的需求是只对特定URL模式的请求应用JWT过滤器，而不是所有请求。默认情况下，如果直接使用http.addFilterBefore(customJwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class)，该自定义过滤器可能会在所有请求进入UsernamePasswordAuthenticationFilter之前被执行，这在某些场景下可能不是最优解，例如，对于公开的API或静态资源，我们不希望它们经过JWT认证逻辑。

为了实现对特定URL模式的精确过滤，spring security提供了AbstractAuthenticationProcessingFilter抽象类和RequestMatcher接口，它们是解决此类问题的关键。

核心概念解析

AbstractAuthenticationProcessingFilter: 这是Spring Security中用于处理特定认证请求的抽象基类。它在内部持有一个RequestMatcher实例，只有当请求与该RequestMatcher匹配时，过滤器才会尝试进行认证处理（即调用attemptAuthentication方法）。这使得我们可以将认证逻辑与请求路径解耦，实现按需认证。
RequestMatcher: 这是一个核心接口，定义了如何判断一个HttpServletRequest是否匹配某种规则。Spring Security提供了多种内置实现，例如：
- AntPathRequestMatcher: 基于Ant风格路径模式（如/api/**, /users/*）进行匹配。
- RegexRequestMatcher: 基于正则表达式进行匹配。
- OrRequestMatcher: 将多个RequestMatcher通过逻辑或（OR）组合。
- AndRequestMatcher: 将多个RequestMatcher通过逻辑与（AND）组合。通过灵活运用这些匹配器，我们可以构建复杂的URL匹配逻辑。

实现步骤

1. 创建定制JWT认证过滤器

首先，我们需要修改原有的CustomJwtAuthenticationFilter，使其继承自AbstractAuthenticationProcessingFilter，并在构造函数中接收一个RequestMatcher。

import org.springframework.security.authentication.AuthenticationManager; import org.springframework.security.authentication.BadCredentialsException; import org.springframework.security.core.Authentication; import org.springframework.security.core.AuthenticationException; import org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter; import org.springframework.security.web.util.matcher.RequestMatcher;  import javax.servlet.ServletException; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; import java.io.IOException;  public class CustomJwtAuthenticationFilter extends AbstractAuthenticationProcessingFilter {      // 构造函数，接收一个RequestMatcher，该匹配器定义了哪些请求需要此过滤器处理     public CustomJwtAuthenticationFilter(RequestMatcher requiresAuthenticationRequestMatcher) {         super(requiresAuthenticationRequestMatcher);     }      // 实际的认证逻辑     @Override     public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)             throws AuthenticationException, IOException, ServletException {         // 从请求中提取JWT令牌的逻辑         String token = extractJwtFromRequest(request);          if (token == null) {             // 如果没有令牌，则抛出认证异常，由AuthenticationEntryPoint处理             throw new BadCredentialsException("No JWT token found in request.");         }          // 假设JwtAuthenticationToken是一个自定义的Authentication实现，         // 包含了JWT令牌信息，等待AuthenticationManager处理         JwtAuthenticationToken authenticationToken = new JwtAuthenticationToken(token);          // 将令牌提交给AuthenticationManager进行认证         // AuthenticationManager会找到对应的AuthenticationProvider来验证令牌         return this.getAuthenticationManager().authenticate(authenticationToken);     }      // 辅助方法：从请求中提取JWT令牌     private String extractJwtFromRequest(HttpServletRequest request) {         // 示例：从Authorization头中提取Bearer Token         String bearerToken = request.getHeader("Authorization");         if (bearerToken != null && bearerToken.startsWith("Bearer ")) {             return bearerToken.substring(7); // 移除"Bearer "前缀         }         return null;     }      // 可以选择性地覆盖successfulAuthentication和unsuccessfulAuthentication方法     // 来处理认证成功或失败后的逻辑，例如设置安全上下文或记录日志。 }

注意：JwtAuthenticationToken 和处理JWT令牌的AuthenticationProvider需要您自行实现。这里主要关注过滤器的结构。

2. 定义请求匹配器

为了让JWT过滤器仅作用于/api/**路径，我们可以使用AntPathRequestMatcher。

import org.springframework.security.web.util.matcher.AntPathRequestMatcher; import org.springframework.security.web.util.matcher.RequestMatcher;  // ... // 在您的Security配置类中或单独定义 RequestMatcher apiPathsMatcher = new AntPathRequestMatcher("/api/**");

3. 集成到Spring Security配置

最后，在您的Spring Security配置类（通常是继承WebSecurityConfigurerAdapter的类）中，将这个定制的JWT过滤器添加到过滤器链中。

import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.authentication.AuthenticationManager; import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.config.http.SessionCreationPolicy; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter; import org.springframework.security.web.util.matcher.AntPathRequestMatcher; import org.springframework.security.web.AuthenticationEntryPoint; // 假设您有自定义的认证入口点  @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter {      private final UserDetailsService userDetailsService; // 假设您有UserDetailsService     private final AuthenticationEntryPoint jwtAuthenticationEntryPoint; // 假设您有JWT认证入口点      public SecurityConfig(UserDetailsService userDetailsService, AuthenticationEntryPoint jwtAuthenticationEntryPoint) {         this.userDetailsService = userDetailsService;         this.jwtAuthenticationEntryPoint = jwtAuthenticationEntryPoint;     }      @Override     protected void configure(AuthenticationManagerBuilder auth) throws Exception {         // 配置您的AuthenticationManager，例如使用UserDetailsService和密码编码器         auth.userDetailsService(userDetailsService);     }      @Bean     @Override     public AuthenticationManager authenticationManagerBean() throws Exception {         // 暴露AuthenticationManager为Bean，供CustomJwtAuthenticationFilter使用         return super.authenticationManagerBean();     }      // 定义CustomJwtAuthenticationFilter为Bean     @Bean     public CustomJwtAuthenticationFilter customJwtAuthenticationFilter() throws Exception {         // 创建一个匹配器，指定只有/api/**路径的请求才会被此JWT过滤器处理         AntPathRequestMatcher apiMatcher = new AntPathRequestMatcher("/api/**");         CustomJwtAuthenticationFilter filter = new CustomJwtAuthenticationFilter(apiMatcher);         // 必须设置AuthenticationManager，因为AbstractAuthenticationProcessingFilter需要它来执行认证         filter.setAuthenticationManager(authenticationManagerBean());         // 可以选择性设置认证成功/失败处理器         // filter.setAuthenticationSuccessHandler(...)         // filter.setAuthenticationFailureHandler(...)         return filter;     }      @Override     protected void configure(HttpSecurity http) throws Exception {         http.csrf().disable() // 禁用CSRF，因为JWT通常是无状态的             .authorizeRequests()                 // 确保/api/**路径需要认证。当请求到达这些路径时，如果尚未认证，                 // customJwtAuthenticationFilter会尝试处理                 .antMatchers("/api/**").authenticated()                 // 其他路径可以设置为permitAll()或根据需求配置                 .antMatchers("/users", "/login", "/").permitAll()                 .anyRequest().authenticated() // 任何其他未匹配的请求也需要认证             .and()             .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS) // JWT是无状态的             .and()             .exceptionHandling()                 .authenticationEntryPoint(jwtAuthenticationEntryPoint) // 未认证或认证失败的入口点                 .AccessDeniedPage("/403") // 访问被拒绝的页面             .and()             // 将自定义的JWT过滤器添加到UsernamePasswordAuthenticationFilter之前             // CustomJwtAuthenticationFilter现在只处理/api/**路径             .addFilterBefore(customJwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);     } }

在上述配置中，antMatchers(“/api/**”).authenticated() 确保了所有/api/**路径的请求都需要认证。当请求匹配/api/**时，customJwtAuthenticationFilter会尝试提取并验证JWT令牌。如果令牌有效，请求将继续处理；否则，jwtAuthenticationEntryPoint将介入处理认证失败。对于其他未匹配/api/**的路径，customJwtAuthenticationFilter根本不会被触发，从而实现了精确的过滤。

注意事项

AuthenticationManager的注入与设置：AbstractAuthenticationProcessingFilter需要一个AuthenticationManager来委托实际的认证过程。因此，您必须通过@Bean注解将authenticationManagerBean()暴露为一个Bean，并在创建CustomJwtAuthenticationFilter实例时将其设置进去。
过滤器链顺序：addFilterBefore(customJwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class)的顺序至关重要。它确保了在Spring Security默认的表单登录过滤器之前，我们的JWT过滤器有机会处理请求。
RequestMatcher的灵活性：除了AntPathRequestMatcher，您还可以根据需要使用OrRequestMatcher、AndRequestMatcher等组合多个匹配规则，以实现更复杂的URL过滤逻辑。例如，如果您想过滤/api/v1/**和/admin/**，可以使用new OrRequestMatcher(new AntPathRequestMatcher(“/api/v1/**”), new AntPathRequestMatcher(“/admin/**”))。
认证入口点（AuthenticationEntryPoint）：当CustomJwtAuthenticationFilter尝试认证失败时（例如，没有提供令牌或令牌无效），它会抛出AuthenticationException。此时，authenticationEntryPoint会负责处理这个异常，通常是返回一个401 Unauthorized响应。确保您的jwtAuthenticationEntryPoint能够正确处理这种情况。
无状态会话：JWT通常用于无状态认证，因此将sessionCreationPolicy设置为STATELESS是最佳实践，这会禁用Spring Security的会话管理，并确保每次请求都携带JWT进行认证。
错误处理：在attemptAuthentication方法中，如果无法提取或解析JWT，应抛出适当的AuthenticationException，让Spring Security的异常处理机制（通过AuthenticationEntryPoint）来统一处理。

总结

通过继承AbstractAuthenticationProcessingFilter并利用RequestMatcher，我们可以为Spring Boot Security中的JWT认证过滤器实现精准的URL模式匹配。这种方法不仅提高了应用程序的安全性，因为它只在必要时才执行认证逻辑，同时也优化了性能，避免了不必要的处理开销。掌握这种技术，能够帮助开发者构建更加健壮和高效的Spring Security认证体系。

文章版权归作者所有，未经允许请勿转载。

THE END