Java Web 拦截机制实战指南：Filter 与 Interceptor 深度解析

一、理解核心概念

在 Java Web 开发中，过滤器（Filter）和拦截器（Interceptor）是两种核心的请求处理机制。它们虽然都能对请求进行拦截和处理，但定位截然不同：

• Filter 是 Servlet 容器的"守门人"，位于应用最外层
• Interceptor 是 Spring MVC 的"执法官"，位于框架内部

二、Filter：Servlet 容器的第一道防线

2.1 本质与特点

Filter 是 Java Servlet 规范 定义的组件，由 Servlet 容器（如 Tomcat）直接管理，不依赖任何框架，因此具有最强的通用性。

生命周期方法：

执行流程：

请求 → Filter1 → Filter2 → Servlet/Controller → Filter2 → Filter1 → 响应

2.2 Spring Boot 中的实现方式

方式一：注解方式（适合简单场景）

@WebFilter(urlPatterns = "/api/*", filterName = "authFilter")
public class AuthFilter implements Filter {

@Override
public void doFilter(ServletRequest request, ServletResponse response,
FilterChain chain) throws IOException, ServletException {
// 前置处理
System.out.println("认证检查开始");

// 放行到下一个 Filter 或目标资源
chain.doFilter(request, response);

// 后置处理（响应返回时执行）
System.out.println("认证检查结束");
}
}

// 在主类开启扫描
@SpringBootApplication
@ServletComponentScan
public class Application { }

方式二：配置类方式（推荐，更灵活）

@Configuration
public class FilterConfig {

@Bean
public FilterRegistrationBean<AuthFilter> authFilter() {
FilterRegistrationBean<AuthFilter> bean = new FilterRegistrationBean<>();
bean.setFilter(new AuthFilter());
bean.addUrlPatterns("/api/*");
bean.setOrder(1); // 控制执行顺序，数字越小越先执行
return bean;
}
}

2.3 Filter 的典型应用场景

三、Interceptor：Spring MVC 的精准拦截

3.1 本质与特点

Interceptor 是 Spring MVC 框架 提供的机制，只能拦截被 DispatcherServlet 处理的请求（即映射到 Controller 的请求）。它可以获取 Spring 上下文，与业务逻辑深度集成。

三个核心拦截点：

3.2 完整实现示例

@Component
public class PermissionInterceptor implements HandlerInterceptor {

@Override
public boolean preHandle(HttpServletRequest request,
HttpServletResponse response,
Object handler) throws Exception {
// 获取请求信息
String uri = request.getRequestURI();
System.out.println("【拦截】请求路径: " + uri);

// 权限校验逻辑
HttpSession session = request.getSession();
if (session.getAttribute("user") == null && uri.startsWith("/admin")) {
response.sendRedirect("/login");
return false; // 拦截，不继续执行
}
return true; // 放行
}

@Override
public void postHandle(HttpServletRequest request,
HttpServletResponse response,
Object handler,
ModelAndView modelAndView) throws Exception {
// 向视图添加通用数据
if (modelAndView != null) {
modelAndView.addObject("serverTime", new Date());
}
}

@Override
public void afterCompletion(HttpServletRequest request,
HttpServletResponse response,
Object handler,
Exception ex) throws Exception {
// 记录异常信息
if (ex != null) {
System.out.println("【异常】请求处理出错: " + ex.getMessage());
}
// 清理 ThreadLocal 等资源
}
}

注册 Interceptor：

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

@Autowired
private PermissionInterceptor permissionInterceptor;

@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(permissionInterceptor)
.addPathPatterns("/admin/**", "/user/**") // 拦截路径
.excludePathPatterns("/login", "/public/**"); // 排除路径
}
}

四、核心区别对比

五、执行顺序详解

当 Filter 和 Interceptor 同时存在时，执行流程如下：

1. Filter.doFilter() 前置代码
↓
2. Interceptor.preHandle()
↓
3. Controller 方法执行
↓
4. Interceptor.postHandle()
↓
5. 视图渲染
↓
6. Interceptor.afterCompletion()
↓
7. Filter.doFilter() 后置代码

示意图：

请求进入
↓
[Filter 1] ──┐
↓ │
[Filter 2] │ 过滤器链（双向拦截）
↓ │
[Servlet] │
↓ │
[Interceptor 1.preHandle] ──┐
↓ │
[Interceptor 2.preHandle] │
↓ │
[Controller 执行] │ 拦截器链（三阶段）
↓ │
[Interceptor 2.postHandle] │
↓ │
[Interceptor 1.postHandle] │
↓ │
[视图渲染] │
↓ │
[Interceptor 1.afterCompletion]┘
↓
[Interceptor 2.afterCompletion]
↓
[Filter 2 后置]
↓
[Filter 1 后置]
↓
响应返回

六、实战选择指南

6.1 优先使用 Filter 的场景

• 统一字符编码：需要在请求进入 Servlet 前就设置编码
• 跨域处理（CORS）：处理 OPTIONS 预检请求，早于 Spring MVC
• 安全过滤：XSS、SQL 注入的输入预处理
• 全局日志：记录所有 HTTP 请求的完整生命周期
• 非 Spring 环境：纯 Servlet 应用

6.2 优先使用 Interceptor 的场景

• 登录状态校验：可便捷获取 HttpSession 和 Spring Bean
• 细粒度权限控制：结合 @PreAuthorize、Security 上下文
• 性能监控：精确统计 Controller 执行时间
• 业务操作日志：获取 HandlerMethod 知道调用了哪个方法
• 视图数据增强：在 postHandle 中向 Model 添加数据

七、黄金组合实践

在实际项目中，两者配合使用才能发挥最大价值：

典型配置示例：

// Filter 处理通用底层逻辑
@Bean
public FilterRegistrationBean<CharacterEncodingFilter> encodingFilter() {
FilterRegistrationBean<CharacterEncodingFilter> bean = new FilterRegistrationBean<>();
bean.setFilter(new CharacterEncodingFilter("UTF-8", true));
bean.addUrlPatterns("/*");
bean.setOrder(Ordered.HIGHEST_PRECEDENCE); // 最先执行
return bean;
}

// Interceptor 处理业务逻辑
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(new AuthInterceptor())
.addPathPatterns("/api/**")
.excludePathPatterns("/api/login");
}

八、面试高频问题

Q1：Filter 和 Interceptor 的本质区别是什么？

Filter 是 Servlet 规范，由容器管理；Interceptor 是 Spring MVC 机制，由框架管理。Filter 更早执行，能拦截所有请求；Interceptor 更晚执行，只能拦截 Spring MVC 请求，但能获取更丰富的上下文。

Q2：如何让 Interceptor 拦截静态资源？

修改 DispatcherServlet 的 url-pattern 为 /*，但会带来性能开销，通常不建议。静态资源拦截建议用 Filter。

Q3：afterCompletion 一定会执行吗？

只要 preHandle 返回 true 并执行了，无论后续是否异常，afterCompletion 都会执行，适合资源清理。

Q4：如何控制多个 Filter 的执行顺序？

使用 FilterRegistrationBean 的 setOrder() 方法，数字越小优先级越高。

九、总结

核心原则：Filter 做"通用处理"，Interceptor 做"业务拦截"，两者协同构建完整的请求处理体系。