1. 拦截器与过滤器的本质区别在Web开发中拦截器(Interceptor)和过滤器(Filter)是两种常见的请求处理机制但它们的定位和功能有本质差异。过滤器是Servlet规范定义的标准组件工作在Servlet容器层面而拦截器通常是框架提供的扩展点工作在应用层面。1.1 工作层级对比过滤器处于Web容器的最外层像一道安检门所有进出容器的请求都会经过它。以Tomcat为例当请求到达服务器时过滤器链(FilterChain)会最先处理请求然后才进入Servlet。这种机制使得过滤器可以修改请求和响应的头信息阻止请求进入后续处理流程对响应内容进行二次加工拦截器则位于框架内部以Spring MVC为例它的拦截器工作在DispatcherServlet之后、Controller方法之前。这意味着拦截器能获取到框架封装的请求对象可以访问HandlerMethod等框架元数据但无法修改HTTP协议层面的内容1.2 触发时机差异典型Web请求的处理流程如下以Spring Boot应用为例HTTP请求 - 过滤器1 - ... - 过滤器N - DispatcherServlet - 拦截器preHandle - Controller - 拦截器postHandle - 视图渲染 - 拦截器afterCompletion - 过滤器处理响应关键时间点说明过滤器的doFilter()在请求进入Servlet前执行拦截器的preHandle()在HandlerAdapter调用Controller前触发postHandle()在Controller返回ModelAndView后执行afterCompletion()在整个请求完成后回调1.3 功能定位不同过滤器的典型使用场景跨域处理(CORS)XSS防护请求/响应日志记录权限校验简单场景拦截器的典型应用认证与授权检查参数预处理接口耗时统计业务逻辑校验经验之谈过滤器适合处理与业务无关的基础设施需求拦截器更适合处理业务相关的横切关注点。我曾在一个电商项目中用过滤器处理商品图片的防盗链而用拦截器实现优惠券的领取权限校验。2. 注册机制深度解析2.1 过滤器的注册方式在Servlet规范中过滤器有三种注册方式2.1.1 注解方式推荐WebFilter( urlPatterns /*, initParams { WebInitParam(name exclusions, value /static/*) } ) public class LogFilter implements Filter { // 实现方法 }特点需要配合ServletComponentScan使用无法指定order顺序按类名排序适合简单场景2.1.2 编程式注册Bean public FilterRegistrationBeanLogFilter loggingFilter() { FilterRegistrationBeanLogFilter registration new FilterRegistrationBean(); registration.setFilter(new LogFilter()); registration.addUrlPatterns(/*); registration.setOrder(Ordered.HIGHEST_PRECEDENCE); return registration; }优势可以精确控制执行顺序支持动态配置便于条件化注册2.1.3 web.xml配置传统方式filter filter-namelogFilter/filter-name filter-classcom.example.LogFilter/filter-class /filter filter-mapping filter-namelogFilter/filter-name url-pattern/*/url-pattern /filter-mapping2.2 拦截器的注册方式以Spring MVC为例拦截器注册需要实现WebMvcConfigurerConfiguration public class WebConfig implements WebMvcConfigurer { Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new AuthInterceptor()) .addPathPatterns(/api/**) .excludePathPatterns(/api/public/**) .order(1); registry.addInterceptor(new LogInterceptor()) .addPathPatterns(/**) .order(2); } }关键配置项addPathPatterns配置拦截路径支持Ant风格excludePathPatterns排除路径order执行顺序数字越小优先级越高2.3 注册机制对比表特性过滤器拦截器注册入口WebFilter/FilterRegistrationBeanWebMvcConfigurer顺序控制通过Order属性或web.xml顺序通过order()方法指定路径匹配urlPatternsaddPathPatterns排除配置需自行实现excludePathPatterns条件化注册支持支持3. 实战中的典型问题3.1 执行顺序混乱常见症状安全过滤器未生效日志信息不完整跨域处理失败解决方案给过滤器设置明确的order值registration.setOrder(Ordered.HIGHEST_PRECEDENCE 1);拦截器使用order()方法排序避免循环依赖踩坑案例曾遇到SecurityFilterChain因order值设置不当导致认证失效最终通过调试FilterChainProxy定位到执行顺序问题。3.2 性能瓶颈错误示范public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) { // 在过滤器中同步调用远程服务 boolean valid authService.checkToken(((HttpServletRequest)request).getHeader(token)); if(!valid) { return; } chain.doFilter(request, response); }优化方案改用异步校验引入本地缓存在拦截器中处理更接近业务层3.3 路径匹配陷阱问题场景.addPathPatterns(/api/**) .excludePathPatterns(/api/public/login)实际效果可能不生效因为Ant路径匹配区分大小写/**会匹配所有子路径需要确保排除路径模式完全匹配建议做法.excludePathPatterns(/api/public/login/**)4. 高级应用技巧4.1 动态拦截器配置通过实现HandlerInterceptor接口的适配器类public class DynamicInterceptor extends HandlerInterceptorAdapter { Autowired private FeatureToggle featureToggle; Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) { if(featureToggle.isEnabled(new_auth)) { // 新校验逻辑 } else { // 旧逻辑 } return true; } }4.2 过滤器中的异步处理利用AsyncContext实现异步操作public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) { HttpServletRequest request (HttpServletRequest) req; AsyncContext asyncContext request.startAsync(); CompletableFuture.runAsync(() - { try { // 执行耗时操作 chain.doFilter(asyncContext.getRequest(), asyncContext.getResponse()); } finally { asyncContext.complete(); } }); }4.3 拦截器与ControllerAdvice协作通过RequestAttributes传递数据// 在拦截器中 RequestContext.getRequestAttributes() .setAttribute(startTime, System.currentTimeMillis(), RequestAttributes.SCOPE_REQUEST); // 在ControllerAdvice中 Long startTime (Long)RequestContext.getRequestAttributes() .getAttribute(startTime, RequestAttributes.SCOPE_REQUEST);5. 选型决策指南5.1 何时选择过滤器适用场景需要处理原始HTTP请求/响应要拦截静态资源请求涉及容器级的安全控制需要处理文件上传等底层操作典型案例请求体重复读取通过ContentCachingRequestWrapper响应压缩GZIP全局字符编码设置5.2 何时选择拦截器适用场景需要访问HandlerMethod元数据要基于业务规则进行拦截需要与Spring生态深度集成要求细粒度的路径控制典型案例接口权限校验参数签名验证API版本控制请求耗时监控5.3 混合使用建议推荐架构模式HTTP请求 - [安全过滤器] - [日志过滤器] - DispatcherServlet - [认证拦截器] - [业务拦截器] - Controller黄金法则过滤器处理基础设施需求拦截器处理业务相关逻辑避免功能重叠明确划分责任边界在实际项目中我通常会先定义清晰的拦截策略矩阵明确每个组件的职责范围。例如在一个金融系统中我们这样划分过滤器TLS验证、请求签名检查拦截器会话超时控制、交易权限校验AOP业务操作日志这种分层设计使得系统既保证了安全性又保持了良好的可维护性。