一、 Filter 的介紹及使用

什么是過濾器？

與 Servlet 相似，過濾器是一些 web 應(yīng)用程序組件，可以綁定到一個(gè) web 應(yīng)用程序中。但是與其他 web 應(yīng)用程序組件不同的是，過濾器是 " 鏈 " 在容器的處理過程中的。這就意味著它們會(huì)在 servlet 處理器之前訪問一個(gè)進(jìn)入的請(qǐng)求，并且在外發(fā)響應(yīng)信息返回到客戶前訪問這些響應(yīng)信息。這種訪問使得過濾器可以檢查并修改請(qǐng)求和響應(yīng)的內(nèi)容。

過濾器適用于那些地方？

l 為一個(gè) web 應(yīng)用程序的新功能建立模型 ( 可被添加到 web 應(yīng)用程序中或者從 web 應(yīng)用程序中刪除而不需要重寫基層應(yīng)用程序代碼 ) ；

l 向過去的代碼添加新功能。

過濾器放在容器結(jié)構(gòu)的什么位置？

過濾器放在 web 資源之前，可以在請(qǐng)求抵達(dá)它所應(yīng)用的 web 資源 ( 可以是一個(gè) Servlet 、一個(gè) Jsp 頁面，甚至是一個(gè) HTML 頁面 ) 之前截獲進(jìn)入的請(qǐng)求，并且在它返回到客戶之前截獲輸出請(qǐng)求。 Filter ：用來攔截請(qǐng)求，處于客戶端與被請(qǐng)求資源之間，目的是重用代碼。 Filter 鏈，在 web.xml 中哪個(gè)先配置，哪個(gè)就先調(diào)用。在 filter 中也可以配置一些初始化參數(shù)。

Java 中的 Filter 并不是一個(gè)標(biāo)準(zhǔn)的 Servlet ，它不能處理用戶請(qǐng)求，也不能對(duì)客戶端生成響應(yīng)。 主要用于對(duì) HttpServletRequest 進(jìn)行預(yù)處理，也可以對(duì) HttpServletResponse 進(jìn)行后處理，是個(gè)典型的處理鏈。

Filter 有如下幾個(gè)用處：

l 在 HttpServletRequest 到達(dá) Servlet 之前，攔截客戶的 HttpServletRequest 。

l 根據(jù)需要檢查 HttpServletRequest ，也可以修改 HttpServletRequest 頭和數(shù)據(jù)。

l 在 HttpServletResponse 到達(dá)客戶端之前，攔截 HttpServletResponse 。

l 根據(jù)需要檢查 HttpServletResponse ，可以修改 HttpServletResponse 頭和數(shù)據(jù)。

Filter 有如下幾個(gè)種類：

l 用戶授權(quán)的 Filter: Filter 負(fù)責(zé)檢查用戶請(qǐng)求，根據(jù)請(qǐng)求過濾用戶非法請(qǐng)求。

l 日志 Filter: 詳細(xì)記錄某些特殊的用戶請(qǐng)求。

l 負(fù)責(zé)解碼的 Filter: 包括對(duì)非標(biāo)準(zhǔn)編碼的請(qǐng)求解碼。

l 能改變 XML 內(nèi)容的 XSLTFilter 等。

一個(gè) Filter 可負(fù)責(zé)攔截多個(gè)請(qǐng)求或響應(yīng) : 一個(gè)請(qǐng)求或響應(yīng)也可被多個(gè)請(qǐng)求攔截。

創(chuàng)建一個(gè) Filter 只需兩個(gè)步驟 :
(1) 創(chuàng)建 Filter 處理類 :

(2) 在 web.xml 文件中配置 Filter 。
創(chuàng)建 Filter 必須實(shí)現(xiàn) javax.servlet.Filter 接口，在該接口中定義了三個(gè)方法。
? void init(FilterConfig config): 用于完成 Filter 的初始化。
? void destroy(): 用于 Filter 銷毀前，完成某些資源的回收。
? void doFilter(ServletRequest request, ServletResponse response,FilterChain chain): 實(shí)現(xiàn)過濾功能，該方法就是對(duì)每個(gè)請(qǐng)求及響應(yīng)增加的額外處理。

過濾器 Filter 也具有生命周期： init()->doFilter()->destroy() ，由部署文件中的 filter 元素驅(qū)動(dòng)。在 servlet2.4 中，過濾器同樣可以用于請(qǐng)求分派器，但須在 web.xml 中聲明， <dispatcher>INCLUDE 或 FORWARD 或 REQUEST 或 ERROR</dispatcher> 該元素位于 filter-mapping 中。

Filter 常用的場景：

例一、 日志的記錄，當(dāng)有請(qǐng)求到達(dá)時(shí)，在該過濾器中進(jìn)行日志的記錄。處理完成后，進(jìn)入后續(xù)的 Filter 或者處理。

步驟 1 ：編寫 Filter 類

package test.filter;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletContext;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.http.HttpServletRequest;

public class LogFilter implements Filter {

private FilterConfig config ;

// 實(shí)現(xiàn)初始化方法

public void init(FilterConfig config) {

this . config = config;

}

// 實(shí)現(xiàn)銷毀方法

public void destroy() {

this . config = null ;

}

public void doFilter(ServletRequest request, ServletResponse response,

FilterChain chain) {

// 獲取 ServletContext 對(duì)象，用于記錄日志

ServletContext context = this . config .getServletContext();

long before = System. currentTimeMillis ();

System. out .println( " 開始過濾 ... " );

// 將請(qǐng)求轉(zhuǎn)換成 HttpServletRequest 請(qǐng)求

HttpServletRequest hrequest = (HttpServletRequest) request;

// 記錄日志

context.log( "Filter 已經(jīng)截獲到用戶的請(qǐng)求的地址 : " + hrequest.getServletPath());

try {

// Filter 只是鏈?zhǔn)教幚恚?qǐng)求依然轉(zhuǎn)發(fā)到目的地址。

chain.doFilter(request, response);

} catch (Exception e) {

e.printStackTrace();

}

long after = System. currentTimeMillis ();

// 記錄日志

context.log( " 過濾結(jié)束 " );

// 再次記錄日志

context.log( " 請(qǐng)求被定位到 " + ((HttpServletRequest) request).getRequestURI()

+ " 所花的時(shí)間為 : " + (after - before));

}

}

在上面的請(qǐng)求 Filter 中，僅在日志中記錄請(qǐng)求的 URL ，對(duì)所有的請(qǐng)求都執(zhí)行 chain.doFilter(request ， reponse) 方法，當(dāng) Filter 對(duì)請(qǐng)求過濾后，依然將請(qǐng)求發(fā)送到目的地址。

步驟 2 ：在 web.xml 中配置 Filter

<!-- 定義 Filter -->

<filter>

<!-- Filter 的名字 -->

<filter-name>log</filter-name>

<!-- Filter 的實(shí)現(xiàn)類 -->

<filter-class> test.filter.LogFilter</filter-class>

</filter>

<!-- 定義 Filter 攔截地址 -->

<filter-mapping>

<!-- Filter 的名字 -->

<filter-name>log</filter-name>

<!-- Filter 負(fù)責(zé)攔截的 URL -->

<url-pattern>/filter/*</url-pattern>

</filter-mapping>

通過上述步驟的操作，此時(shí)就可以通過 URI 進(jìn)行訪問。具體訪問后會(huì)在 log 文件中的 localhost 文件中產(chǎn)生具體的訪問日志。如下所示：

2010-12-28 21:12:50 org.apache.catalina.core.ApplicationContext log

信息 : 請(qǐng)求被定位到 /examples/jsp/jsp2/el/basic-arithmetic.jsp 所花的時(shí)間為 : 0

2010-12-28 21:14:55 org.apache.catalina.core.ApplicationContext log

信息 : Filter 已經(jīng)截獲到用戶的請(qǐng)求的地址 : /jsp/jsp2/el/basic-comparisons.jsp

2010-12-28 21:14:56 org.apache.catalina.core.ApplicationContext log

信息 : 過濾結(jié)束

例二、 進(jìn)行編碼的修正，當(dāng)有新的請(qǐng)求時(shí)，需要將用戶傳送過來的字符進(jìn)行重新編碼，以使其可以滿足服務(wù)器的編碼格式。

1、 編寫 EncodingFilter 類

package test.filter;

import java.io.IOException;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletContext;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

public class EncodingFilter implements Filter {

private FilterConfig filterConfig = null ;

private String encoding = null ;

// 實(shí)現(xiàn)銷毀方法

public void destroy() {

encoding = null ;

}

// 進(jìn)行具體的過濾

public void doFilter(ServletRequest request, ServletResponse response,

FilterChain chain) throws IOException, ServletException {

// 獲取 ServletContext 對(duì)象，用于記錄日志

ServletContext context = this . filterConfig .getServletContext();

context.log( " 開始設(shè)置編碼格式 " );

String encoding = getEncoding();

if (encoding == null ){

encoding = "gb2312" ;

}

// 在請(qǐng)求里設(shè)置上指定的編碼

request.setCharacterEncoding(encoding);

chain.doFilter(request, response);

context.log( " 成功設(shè)置了編碼格式 " );

}

// 初始化配置

public void init(FilterConfig filterConfig) throws ServletException {

this . filterConfig = filterConfig;

this . encoding = filterConfig.getInitParameter( "encoding" );

}

private String getEncoding() {

return this . encoding ;

}

}

步驟 2 ：在 web.xml 中配置 Filter

<!-- 定義 Filter -->

<filter>

<!-- Filter 的名字 -->

<filter-name>encoding</filter-name>

<!-- Filter 的實(shí)現(xiàn)類 -->

<filter-class> test.filter.EncodingFilter</filter-class>

<init-param>

<param-name>encoding</param-name>

<param-value>gb2312</param-value>

</init-param>

</filter>

<!-- 定義 Filter 攔截地址 -->

<filter-mapping>

<!-- Filter 的名字 -->

<filter-name> encoding </filter-name>

<!-- Filter 負(fù)責(zé)攔截的 URL -->

<url-pattern>/encode/*</url-pattern>

</filter-mapping>

通過上述步驟的操作，此時(shí)就可以通過 URI 進(jìn)行訪問。

例三、 用戶權(quán)限的認(rèn)證，當(dāng)用戶發(fā)送請(qǐng)求時(shí)，可以對(duì)用戶的身份信息進(jìn)行驗(yàn)證，如果能夠通過驗(yàn)證則接下來再進(jìn)行其它操作，否則直接不進(jìn)入下一步的處理。

1、 編寫身份認(rèn)證 SecurityFilter 類

package test.filter;

import java.io.IOException;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletContext;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;

import javax.servlet.http.HttpSession;

public class SecurityFilter implements Filter {

private FilterConfig filterConfig ;

// 初始化方法實(shí)現(xiàn)

@Override

public void init(FilterConfig filterConfig) throws ServletException {

this . filterConfig = filterConfig;

}

// 身份認(rèn)證的過濾

@Override

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)

throws IOException, ServletException {

ServletContext context = this . filterConfig .getServletContext();

HttpServletRequest req = (HttpServletRequest) request;

HttpServletResponse res = (HttpServletResponse) response;

HttpSession session = req.getSession();

// 登錄后才能進(jìn)入下一步處理，否則直接進(jìn)入錯(cuò)誤提示頁面

if (session.getAttribute( "username" ) != null ) {

context.log( " 身份認(rèn)證通過，進(jìn)入下一步處理 " );

chain.doFilter(request, response);

} else {

context.log( " 身份認(rèn)證失敗，直接返回 " );

res.sendRedirect( "../failure.jsp" );

}

}

// 實(shí)現(xiàn)銷毀方法

@Override

public void destroy() {

this . filterConfig = null ;

}

}

步驟 2 ：在 web.xml 中配置 Filter

<!-- 定義 Filter -->

<filter>

<!-- Filter 的名字 -->

<filter-name>security</filter-name>

<!-- Filter 的實(shí)現(xiàn)類 -->

<filter-class> test.filter.SecurityFilter</filter-class>

</filter>

<!-- 定義 Filter 攔截地址 -->

<filter-mapping>

<!-- Filter 的名字 -->

<filter-name> security </filter-name>

<!-- Filter 負(fù)責(zé)攔截的 URL -->

<url-pattern>/security/*</url-pattern>

</filter-mapping>

通過上述步驟的操作，此時(shí)就可以通過 URI 進(jìn)行訪問。此時(shí)如果能夠取得 Session 中的 username 值時(shí)，會(huì)直接進(jìn)入下一步處理，否則直接進(jìn)入錯(cuò)誤頁面。

二、過濾鏈 FilterChain

兩個(gè)過濾器， EncodingFilter 負(fù)責(zé)設(shè)置編碼， SecurityFilter 負(fù)責(zé)控制權(quán)限，服務(wù)器會(huì)按照 web.xml 中過濾器定義的先后循序組裝成一條鏈，然后一次執(zhí)行其中的 doFilter() 方法。執(zhí)行的順序就如下圖所示，執(zhí)行第一個(gè)過濾器的 chain.doFilter() 之前的代碼，第二個(gè)過濾器的 chain.doFilter() 之前的代碼，請(qǐng)求的資源，第二個(gè)過濾器的 chain.doFilter() 之后的代碼，第一個(gè)過濾器的 chain.doFilter() 之后的代碼，最后返回響應(yīng)。

執(zhí)行的代碼順序是：

l 執(zhí)行 EncodingFilter.doFilter() 中 chain.doFilter() 之前的部分； request.setCharacterEncoding(encoding);

l 執(zhí)行 SecurityFilter.doFilter() 中 chain.doFilter() 之前的部分：判斷用戶是否已登錄。

l 如果用戶已登錄，則訪問請(qǐng)求的資源。

l 如果用戶未登錄，則頁面重定向到： /failure.jsp 。

l 執(zhí)行 SecurityFilter.doFilter() 中 chain.doFilter() 之后的部分：這里沒有代碼。

l 執(zhí)行 EncodingFilter.doFilter() 中 chain.doFilter() 之后的部分：寫入已經(jīng)完成的日志。

過濾鏈的好處是，執(zhí)行過程中任何時(shí)候都可以打斷，只要不執(zhí)行 chain.doFilter() 就不會(huì)再執(zhí)行后面的過濾器和請(qǐng)求的內(nèi)容。而在實(shí)際使用時(shí)，就要特別注意過濾鏈的執(zhí)行順序問題，像 EncodingFilter 就一定要放在所有 Filter 之前，這樣才能確保在使用請(qǐng)求中的數(shù)據(jù)前設(shè)置正確的編碼。

Filter及FilterChain的使用詳解