Java Web 拦截机制实战指南：Filter 与 Interceptor 深度解析

一、理解核心概念

在 Java Web 开发中，过滤器（Filter）和拦截器（Interceptor）是两种核心的请求处理机制。它们虽然都能对请求进行拦截和处理，但定位截然不同：

• Filter 是 Servlet 容器的"守门人"，位于应用最外层
• Interceptor 是 Spring MVC 的"执法官"，位于框架内部

二、Filter：Servlet 容器的第一道防线

2.1 本质与特点

Filter 是 Java Servlet 规范 定义的组件，由 Servlet 容器（如 Tomcat）直接管理，不依赖任何框架，因此具有最强的通用性。

生命周期方法：

执行流程：

请求 → Filter1 → Filter2 → Servlet/Controller → Filter2 → Filter1 → 响应

2.2 Spring Boot 中的实现方式

方式一：注解方式（适合简单场景）

@WebFilter(urlPatterns = "/api/*", filterName = "authFilter") public class AuthFilter implements Filter { @Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { // 前置处理 System.out.println("认证检查开始"); // 放行到下一个 Filter 或目标资源 chain.doFilter(request, response); // 后置处理（响应返回时执行） System.out.println("认证检查结束"); } } // 在主类开启扫描 @SpringBootApplication @ServletComponentScan public class Application { }

方式二：配置类方式（推荐，更灵活）

@Configuration public class FilterConfig { @Bean public FilterRegistrationBean<AuthFilter> authFilter() { FilterRegistrationBean<AuthFilter> bean = new FilterRegistrationBean<>(); bean.setFilter(new AuthFilter()); bean.addUrlPatterns("/api/*"); bean.setOrder(1); // 控制执行顺序，数字越小越先执行 return bean; } }

2.3 Filter 的典型应用场景

三、Interceptor：Spring MVC 的精准拦截

3.1 本质与特点

Interceptor 是 Spring MVC 框架 提供的机制，只能拦截被 DispatcherServlet 处理的请求（即映射到 Controller 的请求）。它可以获取 Spring 上下文，与业务逻辑深度集成。

三个核心拦截点：

3.2 完整实现示例

@Component public class PermissionInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { // 获取请求信息 String uri = request.getRequestURI(); System.out.println("【拦截】请求路径: " + uri); // 权限校验逻辑 HttpSession session = request.getSession(); if (session.getAttribute("user") == null && uri.startsWith("/admin")) { response.sendRedirect("/login"); return false; // 拦截，不继续执行 } return true; // 放行 } @Override public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception { // 向视图添加通用数据 if (modelAndView != null) { modelAndView.addObject("serverTime", new Date()); } } @Override public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception { // 记录异常信息 if (ex != null) { System.out.println("【异常】请求处理出错: " + ex.getMessage()); } // 清理 ThreadLocal 等资源 } }

注册 Interceptor：

@Configuration public class WebMvcConfig implements WebMvcConfigurer { @Autowired private PermissionInterceptor permissionInterceptor; @Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(permissionInterceptor) .addPathPatterns("/admin/**", "/user/**") // 拦截路径 .excludePathPatterns("/login", "/public/**"); // 排除路径 } }

四、核心区别对比

五、执行顺序详解

当 Filter 和 Interceptor 同时存在时，执行流程如下：

1. Filter.doFilter() 前置代码 ↓ 2. Interceptor.preHandle() ↓ 3. Controller 方法执行 ↓ 4. Interceptor.postHandle() ↓ 5. 视图渲染 ↓ 6. Interceptor.afterCompletion() ↓ 7. Filter.doFilter() 后置代码

示意图：

请求进入 ↓ [Filter 1] ──┐ ↓ │ [Filter 2] │ 过滤器链（双向拦截） ↓ │ [Servlet] │ ↓ │ [Interceptor 1.preHandle] ──┐ ↓ │ [Interceptor 2.preHandle] │ ↓ │ [Controller 执行] │ 拦截器链（三阶段） ↓ │ [Interceptor 2.postHandle] │ ↓ │ [Interceptor 1.postHandle] │ ↓ │ [视图渲染] │ ↓ │ [Interceptor 1.afterCompletion]┘ ↓ [Interceptor 2.afterCompletion] ↓ [Filter 2 后置] ↓ [Filter 1 后置] ↓ 响应返回

六、实战选择指南

6.1 优先使用 Filter 的场景

• 统一字符编码：需要在请求进入 Servlet 前就设置编码
• 跨域处理（CORS）：处理 OPTIONS 预检请求，早于 Spring MVC
• 安全过滤：XSS、SQL 注入的输入预处理
• 全局日志：记录所有 HTTP 请求的完整生命周期
• 非 Spring 环境：纯 Servlet 应用

6.2 优先使用 Interceptor 的场景

• 登录状态校验：可便捷获取 HttpSession 和 Spring Bean
• 细粒度权限控制：结合 @PreAuthorize、Security 上下文
• 性能监控：精确统计 Controller 执行时间
• 业务操作日志：获取 HandlerMethod 知道调用了哪个方法
• 视图数据增强：在 postHandle 中向 Model 添加数据

七、黄金组合实践

在实际项目中，两者配合使用才能发挥最大价值：

典型配置示例：

// Filter 处理通用底层逻辑 @Bean public FilterRegistrationBean<CharacterEncodingFilter> encodingFilter() { FilterRegistrationBean<CharacterEncodingFilter> bean = new FilterRegistrationBean<>(); bean.setFilter(new CharacterEncodingFilter("UTF-8", true)); bean.addUrlPatterns("/*"); bean.setOrder(Ordered.HIGHEST_PRECEDENCE); // 最先执行 return bean; } // Interceptor 处理业务逻辑 @Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new AuthInterceptor()) .addPathPatterns("/api/**") .excludePathPatterns("/api/login"); }

八、面试高频问题

Q1：Filter 和 Interceptor 的本质区别是什么？

Filter 是 Servlet 规范，由容器管理；Interceptor 是 Spring MVC 机制，由框架管理。Filter 更早执行，能拦截所有请求；Interceptor 更晚执行，只能拦截 Spring MVC 请求，但能获取更丰富的上下文。

Q2：如何让 Interceptor 拦截静态资源？

修改 DispatcherServlet 的 url-pattern 为 /*，但会带来性能开销，通常不建议。静态资源拦截建议用 Filter。

Q3：afterCompletion 一定会执行吗？

只要 preHandle 返回 true 并执行了，无论后续是否异常，afterCompletion 都会执行，适合资源清理。

Q4：如何控制多个 Filter 的执行顺序？

使用 FilterRegistrationBean 的 setOrder() 方法，数字越小优先级越高。

九、总结

核心原则：Filter 做"通用处理"，Interceptor 做"业务拦截"，两者协同构建完整的请求处理体系。