深入理解拦截器与过滤器

1.过滤器

依赖于servlet容器。在实现上基于函数回调，可以对几乎所有请求进行过滤，但是缺点是一个过滤器实例只能在容器初始化时调用一次。使用过滤器的目的是用来做一些过滤操作，获取我们想要获取的数据，比如：在过滤器中修改字符编码；在过滤器中修改HttpServletRequest的一些参数，包括：过滤低俗文字、危险字符等。

2.拦截器

依赖于web框架，在SpringMVC中就是依赖于SpringMVC框架。在实现上基于Java的反射机制，属于面向切面编程（AOP）的一种运用。由于拦截器是基于web框架的调用，因此可以使用Spring的依赖注入（DI）进行一些业务操作，同时一个拦截器实例在一个controller生命周期之内可以多次调用。但是缺点是只能对controller请求进行拦截，对其他的一些比如直接访问静态资源的请求则没办法进行拦截处理。

3.过滤器与拦截器的区别

• 拦截器是基于java的反射机制的，而过滤器是基于函数回调。
• 拦截器不依赖与servlet容器，过滤器依赖与servlet容器。
• 拦截器只能对action请求起作用，而过滤器则可以对几乎所有的请求起作用。
• 拦截器可以访问action上下文、值栈里的对象，而过滤器不能访问。
• 在action的生命周期中，拦截器可以多次被调用，而过滤器只能在容器初始化时被调用一次。
• 拦截器可以获取IOC容器中的各个bean，而过滤器就不行，这点很重要，在拦截器里注入一个service，可以调用业务逻辑。

4.过滤器与拦截器的执行时间

我们来写一个demo来做一个实验：

过滤器：

@Component
@Slf4j
public class MyTestFilter implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        log.info("[ {} ] 创建啦...", this.getClass().getSimpleName());
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        log.info("[ {} ] 执行啦...", this.getClass().getSimpleName());
        log.info("chain.doFilter开始");
        chain.doFilter(request, response);
        log.info("chain.doFilter完成");
    }

    @Override
    public void destroy() {
        log.info("[ {} ] 被摧毁啦...", this.getClass().getSimpleName());
    }
}

拦截器：

@Slf4j
@Component
public class AuthInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        log.info(">>>AuthInterceptor>>>>>>>在请求处理之前进行调用（Controller方法调用之前)");

        String token = request.getHeader("token");
        log.info("token : [ {} ]", token);


        if (!token.equals("toke20200311"))
            return false;

        return true;// 只有返回true才会继续向下执行，返回false取消当前请求
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        log.info(">>>AuthInterceptor>>>>>>>请求处理之后进行调用，但是在视图被渲染之前（Controller方法调用之后）");
    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        log.info(">>>AuthInterceptor>>>>>>>在整个请求结束之后被调用，也就是在DispatcherServlet 渲染了对应的视图之后执行（主要是用于进行资源清理工作）");
    }
}

在项目启动的时候，filter的init方法就被执行啦

然后使用postman模拟请求，依次执行的是：filter的doFilter方法 ==》Interceptor的preHandle ==》Interceptor的postHandel ==>Interceptor的afterCompletion方法：其中，拦截器是在filter的chain.doFilter(request, response);方法执行过程中被执行的。

事实上调用Servlet的doService()方法是在chain.doFilter(request, response);这个方法中进行的。

SpringMVC的机制是由同一个Servlet来分发请求给不同的Controller，其实这一步是在Servlet的service()方法中执行的。下面这张图就是一个请求进入filter、Interceptor、servlet、controller的顺序：

所以他们之间的关系是：

5.总结：

拦截器功在对请求权限鉴定方面确实很有用处，在我所参与的这个项目之中，对前端过来的请求都在拦截器中做token认证，这样做非常方便，而且他是很独立的逻辑，这样做让业务逻辑代码很干净。和框架的其他功能一样，原理很简单，使用起来也很简单，大致看了下SpringMVC这一部分的源码，其实还是比较容易理解的。至于为什么没有使用过滤器而是使用拦截器，是因为，一般来说，过滤器注重“取你所想取”，拦截器注重：“拒你所想拒”，当然，最重要的一点是，我们的项目是微服务项目，token认证需要调用其他模块的feign，使用IOC注入很方便，但是过滤器是不支持依赖注入的。

最后引用一下：

6.相关导读

springboot 拦截器不生效

Springboot 实现拦截器获取header内容

Springboot实现过滤器