企业官网建设流程全解析

1. 项目概述

作为一名从零开始学习JavaWeb后端开发的程序员，我在Chapter20中遇到了三个关键技术的实战应用：JWT令牌技术、过滤器Filter和拦截器Interceptor。这三个组件构成了现代JavaWeb应用中安全验证和请求处理的核心机制，也是面试中经常被问到的重点内容。

在实际开发中，我发现很多初学者容易混淆Filter和Interceptor的使用场景，也不太清楚JWT的最佳实践。本文将基于我的学习笔记和项目实战经验，详细解析这三个技术的原理、实现方式和配合使用的技巧。

2. 核心需求解析

2.1 为什么需要登录验证

现代Web应用几乎都需要某种形式的用户认证机制。传统的session-cookie方式虽然简单，但在分布式系统中会遇到session共享问题。JWT(JSON Web Token)作为一种无状态的认证方案，完美解决了这个问题。

我在项目中采用JWT主要基于以下考虑：

1. 无状态：服务端不需要存储session信息
2. 跨域支持：适合前后端分离架构
3. 自包含：token中可以直接包含用户基本信息
4. 安全性：通过签名防止篡改

2.2 Filter与Interceptor的定位差异

很多初学者会困惑：为什么有了Filter还需要Interceptor？其实它们的定位和职责是不同的：

3. JWT令牌技术实现

3.1 JWT组成结构

一个标准的JWT由三部分组成，用点号分隔：

header.payload.signature

Header：包含令牌类型和签名算法

{ "alg": "HS256", "typ": "JWT" }

Payload：包含声明(claims)，分为三种类型：

• 注册声明(如iss, exp等)
• 公开声明
• 私有声明(自定义的业务数据)

Signature：对前两部分的签名，防止篡改

3.2 Java实现JWT生成与验证

使用jjwt库实现JWT的生成和验证：

// 生成JWT public String generateToken(User user) { return Jwts.builder() .setSubject(user.getUsername()) .claim("roles", user.getRoles()) .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME)) .signWith(SignatureAlgorithm.HS512, SECRET_KEY) .compact(); } // 解析验证JWT public Claims parseToken(String token) { return Jwts.parser() .setSigningKey(SECRET_KEY) .parseClaimsJws(token) .getBody(); }

注意：SECRET_KEY需要足够复杂且妥善保管，建议长度至少256位

3.3 JWT最佳实践

1. 设置合理的过期时间：通常30分钟到几小时，敏感操作可使用更短时间
2. 使用HTTPS传输：防止token被窃取
3. 实现token刷新机制：通过refresh token获取新的access token
4. 黑名单机制：对于需要提前失效的token，维护一个短期的黑名单
5. 避免存储敏感信息：payload中不要放密码等敏感数据

4. 过滤器Filter实现

4.1 认证过滤器实现

@WebFilter("/*") public class JwtFilter implements Filter { @Override public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { HttpServletRequest request = (HttpServletRequest) req; String path = request.getRequestURI(); // 放行登录和公开接口 if (path.startsWith("/api/auth") || path.startsWith("/public")) { chain.doFilter(req, res); return; } String token = request.getHeader("Authorization"); if (token == null || !token.startsWith("Bearer ")) { sendError(response, "缺少token"); return; } try { Claims claims = jwtUtil.parseToken(token.substring(7)); request.setAttribute("userClaims", claims); chain.doFilter(req, res); } catch (Exception e) { sendError(response, "无效token"); } } private void sendError(ServletResponse res, String message) { // 错误响应处理 } }

4.2 Filter注册方式

在Spring Boot中有两种注册Filter的方式：

1. 注解方式：使用@WebFilter + @ServletComponentScan

@WebFilter("/*") public class MyFilter implements Filter {...} @SpringBootApplication @ServletComponentScan public class App {...}

2. Bean注册方式：通过FilterRegistrationBean

@Bean public FilterRegistrationBean<MyFilter> myFilter() { FilterRegistrationBean<MyFilter> bean = new FilterRegistrationBean<>(); bean.setFilter(new MyFilter()); bean.addUrlPatterns("/*"); bean.setOrder(1); // 设置执行顺序 return bean; }

5. 拦截器Interceptor实现

5.1 拦截器基础实现

public class AuthInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { // 已经通过Filter验证的请求 if (request.getAttribute("userClaims") != null) { return true; } // 检查是否需要认证 if (handler instanceof HandlerMethod) { HandlerMethod method = (HandlerMethod) handler; if (method.getMethodAnnotation(AllowAnonymous.class) != null) { return true; } } response.sendError(HttpStatus.UNAUTHORIZED.value(), "未授权"); return false; } @Override public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) { // 请求处理完成后执行 } @Override public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) { // 视图渲染完成后执行 } }

5.2 拦截器配置

@Configuration public class WebConfig implements WebMvcConfigurer { @Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new AuthInterceptor()) .addPathPatterns("/api/**") .excludePathPatterns("/api/auth/**"); } }

6. 三者的执行顺序与协作

6.1 完整请求处理流程

1. 客户端发送请求
2. 容器接收到请求，匹配对应的Filter
3. FilterChain执行所有匹配的Filter
4. DispatcherServlet接收到请求
5. 执行拦截器的preHandle方法
6. 执行Controller方法
7. 执行拦截器的postHandle方法
8. 渲染视图
9. 执行拦截器的afterCompletion方法
10. 响应返回客户端

6.2 实际项目中的分工协作

在我的项目中，三者的分工如下：

1. JWT：负责身份信息的编码/解码，生成和验证token
2. Filter：
   • 处理跨域请求
   • 验证JWT并解析claims
   • 记录请求日志
   • 防止XSS攻击
3. Interceptor：
   • 细粒度的权限控制
   • 接口访问频率限制
   • 业务参数预处理

7. 常见问题与解决方案

7.1 JWT相关问题

Q1：JWT token被盗怎么办？

• 设置较短的过期时间
• 使用refresh token机制
• 关键操作要求二次认证
• 记录token使用设备/IP信息

Q2：如何实现JWT失效？

• 维护一个短期的黑名单(Redis)
• 修改secret key使所有token失效(影响大)
• 使用jti(JWT ID)标识每个token

7.2 Filter相关问题

Q1：Filter和Interceptor执行顺序混乱？

• 明确Filter是Servlet层面的，Interceptor是Spring MVC层面的
• 通过FilterRegistrationBean.setOrder()控制Filter顺序
• 通过InterceptorRegistry.addInterceptor()顺序控制Interceptor顺序

Q2：Filter中无法注入Spring Bean？

• 使用DelegatingFilterProxy
• 或者通过FilterRegistrationBean方式注册

7.3 Interceptor相关问题

Q1：Interceptor中获取不到请求参数？

• 参数解析发生在Interceptor之后
• 需要从request中手动解析
• 或者使用@ModelAttribute方法

Q2：如何跳过Interceptor对某些请求的拦截？

• 在配置中通过excludePathPatterns排除
• 使用自定义注解如@AllowAnonymous
• 在preHandle方法中根据request判断

8. 性能优化与安全加固

8.1 JWT性能优化

1. 精简payload：减少token体积
2. 使用更快的算法：如HS256比RS256更快
3. 客户端存储优化：
   • Web使用HttpOnly的cookie
   • 移动端使用安全存储
4. 服务端缓存：频繁验证的token可以缓存解析结果

8.2 安全加固措施

1. 防止CSRF：
   • 重要操作使用POST/PUT/DELETE
   • 添加CSRF token
2. 防止XSS：
   • 设置HttpOnly cookie
   • 响应头添加X-XSS-Protection
3. 速率限制：
   • 对登录接口限流
   • 对token刷新接口限流
4. 敏感操作保护：
   • 关键操作需要二次验证
   • 记录操作日志

9. 测试策略

9.1 单元测试

@Test public void testJwtGenerateAndParse() { User user = new User("test", "ROLE_USER"); String token = jwtUtil.generateToken(user); Claims claims = jwtUtil.parseToken(token); assertEquals("test", claims.getSubject()); assertTrue(claims.getExpiration().after(new Date())); } @Test public void testFilterChain() { MockHttpServletRequest request = new MockHttpServletRequest(); request.setRequestURI("/api/secured"); request.addHeader("Authorization", "Bearer invalid.token"); MockHttpServletResponse response = new MockHttpServletResponse(); filter.doFilter(request, response, (req, res) -> {}); assertEquals(HttpStatus.UNAUTHORIZED.value(), response.getStatus()); }

9.2 集成测试

@SpringBootTest @AutoConfigureMockMvc public class AuthIntegrationTest { @Autowired private MockMvc mockMvc; @Test public void testSecuredApiWithoutToken() throws Exception { mockMvc.perform(get("/api/secured")) .andExpect(status().isUnauthorized()); } @Test public void testSecuredApiWithValidToken() throws Exception { String token = "valid.token"; mockMvc.perform(get("/api/secured") .header("Authorization", "Bearer " + token)) .andExpect(status().isOk()); } }

10. 实际项目经验分享

在实现这个认证系统的过程中，我踩过几个坑值得分享：

1. token过期时间设置：最初设置为24小时，后来发现安全性不够，调整为2小时access token + 7天refresh token的组合更合理。

2. Filter与Interceptor的异常处理：Filter中抛出的异常无法被Spring的@ControllerAdvice捕获，需要在Filter中自行处理错误响应。

3. 跨域问题：当Filter和Interceptor同时处理跨域时容易冲突，最终选择在Filter中统一处理CORS。

4. 性能监控：添加了拦截器来记录每个API的耗时，发现JWT解析在某些情况下会成为性能瓶颈，通过缓存解析结果优化了30%的响应时间。

5. 多设备登录：实现了一个用户最多同时3个设备在线的限制，通过Redis记录活跃token来实现。

这个认证系统最终在我们的项目中稳定运行，每天处理超过100万次认证请求，平均响应时间在50ms以内。