JavaWeb过滤器Filter和拦截器Interceptor到底有什么区别？

在Java Web开发中，过滤器Filter和拦截器Interceptor都是实现请求统一预处理、权限校验、日志打印的核心技术。很多开发者容易混淆它们的使用场景和底层机制，今天我们就来彻底理清这两者的区别与联系。

一、过滤器 Filter（Servlet原生技术）

1. 基础介绍

Filter是Servlet规范原生提供的组件，运行在Tomcat等Web服务器层面，可以拦截所有进入容器的资源：静态资源（html、css、图片）、接口Controller、Servlet等全部能拦截。它就像是Web服务器的一道前置关卡，所有请求进来都要先过它这关。

过滤器有三大生命周期方法：

1. init()：服务器启动时执行，仅执行1次，过滤器初始化；
2. doFilter()：每一次请求都会执行，核心业务逻辑写在此处；
3. destroy()：服务器正常关闭时执行，仅执行1次，资源销毁。

2. 完整代码实现

① 自定义过滤器 DemoFilter

package org.example.springbootpractice.filter;

import jakarta.servlet.*;
import jakarta.servlet.annotation.WebFilter;
import lombok.extern.slf4j.Slf4j;

import java.io.IOException;

@WebFilter(urlPatterns = "/*")
@Slf4j
public class DemoFilter implements Filter {
    // 拦截到请求之后，执行，会执行多次
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        log.info("doFilter方法运行了，拦截到了请求...");
        // 放行
        chain.doFilter(request, response);
    }

    // 初始化方法，会在web服务器启动的时候执行，只会执行一次
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        log.info("init初始化方法运行了...");
    }

    // 初始化方法，会在web服务器关闭的时候执行，只会执行一次
    @Override
    public void destroy() {
        log.info("destroy销毁方法运行了...");
    }
}

② 启动类开启Servlet组件扫描

使用@WebFilter注解注册过滤器时，必须在启动类添加@ServletComponentScan，让Spring扫描Filter注解：

package org.example.springbootpractice;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.boot.web.servlet.ServletComponentScan;

// 扫描项目中@WebFilter、@WebServlet等Servlet注解组件
@ServletComponentScan
@SpringBootApplication
public class SpringbootPracticeApplication {
    public static void main(String[] args) {
        SpringApplication.run(SpringbootPracticeApplication.class, args);
    }
}

3. Filter拦截路径匹配规则

通过@WebFilter(urlPatterns = "xxx")配置拦截范围，下表总结了常见的匹配模式：

4. 过滤器链（多个Filter执行顺序）

1. 一个项目可配置多个Filter，多个过滤器串联形成过滤器链；
2. 注解@WebFilter方式下，执行顺序由类名字典序决定，类名字母靠前先执行；
3. 执行流程：请求先经过Filter1放行前逻辑 → Filter2放行前逻辑 → Controller处理 → Filter2放行后逻辑 → Filter1放行后逻辑；
4. 核心放行方法：chain.doFilter(request, response)，不调用则直接拦截请求。

有一个常见疑问：退出登录是否调用destroy()方法？答案是完全无关。destroy()仅服务关闭时执行；退出登录只是前端删除token/后端清除会话，不会触发过滤器销毁。

二、拦截器 Interceptor（SpringMVC专属技术）

1. 基础介绍

Interceptor是SpringMVC框架提供的组件，仅拦截Spring容器内的Controller接口，静态资源（图片、html、js）不会被拦截。它依托Spring IOC容器，可直接注入Service、Mapper等Bean，非常适合做接口权限校验。

三大核心方法：

1. preHandle()：Controller接口方法执行前触发，返回true放行，false直接阻断请求；
2. postHandle()：Controller执行完成、视图渲染之前触发；
3. afterCompletion()：整个请求全部处理完毕、视图渲染完成后执行，多用于资源释放、日志收尾。

2. 完整代码实现

① 自定义拦截器 DemoInterceptor

添加@Component交给Spring IOC管理：

package org.example.springbootpractice.interceptor;

import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import lombok.extern.slf4j.Slf4j;
import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

@Slf4j
@Component
public class DemoInterceptor implements HandlerInterceptor {

    // Controller执行前执行，返回true放行
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        log.info("preHandle...");
        return true;
    }

    // Controller执行完成，视图渲染前执行
    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        log.info("postHandle...");
    }

    // 请求全部结束、视图渲染完成后执行
    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        log.info("afterCompletion...");
    }
}

② WebMvc配置类注册拦截器

实现WebMvcConfigurer接口，重写addInterceptors注册拦截器，配置拦截/排除路径：

package org.example.springbootpractice.config;

import org.example.springbootpractice.interceptor.DemoInterceptor;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

// 标识这是 SpringMVC 配置类，项目启动自动加载
@Configuration
public class WebConfig implements WebMvcConfigurer {

    // 注入自定义拦截器
    @Autowired
    private DemoInterceptor demoInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(demoInterceptor)
                // 拦截所有请求接口
                .addPathPatterns("/**");
        // 可选：排除不需要拦截的路径，示例
        // .excludePathPatterns("/login", "/static/**", "/error");
    }
}

3. Interceptor路径匹配规则

配置addPathPatterns/excludePathPatterns设置拦截、放行路径，注意与Filter的/*不同，拦截器常用/**匹配多级路径：

三、Filter与Interceptor完整执行顺序

请求完整生命周期流程如下：

浏览器请求 → Web服务器 → Filter放行前逻辑 → SpringMVC分发器 → Interceptor.preHandle → Controller执行业务 → Interceptor.postHandle → 视图渲染 → Interceptor.afterCompletion → Filter放行后逻辑 → 浏览器接收响应

这个顺序决定了Filter比Interceptor更早介入请求，也更晚退出。Filter在Tomcat层面拦截，Interceptor在SpringMVC内部拦截。

四、过滤器与拦截器核心区别

底层规范不同

• Filter：Servlet原生接口，实现Filter；
• Interceptor：SpringMVC框架接口，实现HandlerInterceptor。

拦截范围不同

• Filter：Tomcat层面，拦截全部资源（静态资源+接口+Servlet）；
• Interceptor：SpringMVC层面，仅拦截Controller接口，静态资源不拦截。

容器依赖不同

• Filter：属于Servlet容器，无法直接使用Spring IOC注入Bean；
• Interceptor：归Spring IOC管理，可直接@Autowired注入Service、Mapper。

执行时机不同

• Filter：在请求进入Spring容器之前执行；
• Interceptor：请求进入Spring容器、到达Controller之前执行。

使用场景区分

• Filter：全局统一编码、跨域处理、静态资源过滤、Token全局校验；
• Interceptor：接口登录权限校验、接口操作日志、Controller入参预处理。

拓展实战：Token登录认证过滤器流程（登录校验业务）

项目登录认证统一校验，一般使用Filter实现全局Token拦截，流程如下：

1. 获取当前请求URL；
2. 判断URL是否包含/login登录路径，若是直接放行；
3. 从请求头中提取token令牌；
4. 无token直接返回401未认证状态码；
5. 解析token，解析失败（过期/篡改）同样返回401；
6. 校验通过，放行请求访问业务接口。

核心业务逻辑伪代码：

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest req = (HttpServletRequest) request;
    HttpServletResponse resp = (HttpServletResponse) response;
    String url = req.getRequestURI();
    // 登录接口直接放行
    if(url.contains("/login")){
        chain.doFilter(request, response);
        return;
    }
    // 获取token
    String token = req.getHeader("token");
    if(token == null || token.isEmpty()){
        resp.setStatus(401);
        return;
    }
    try{
        // 解析token
        JwtUtil.parseToken(token);
        // 校验通过放行
        chain.doFilter(request, response);
    }catch (Exception e){
        // token失效/篡改，返回401
        resp.setStatus(401);
    }
}

五、总结

1. 简单区分：全局所有资源拦截用Filter，仅Controller接口权限控制用Interceptor；
2. 路径匹配：拦截器匹配所有多级接口务必写/**，过滤器拦截全部资源写/*；
3. 生命周期：Filter的destroy()仅服务关闭触发，和登录退出无关联；
4. 开发规范：登录Token认证、跨域、编码统一推荐Filter；接口细粒度权限、操作日志推荐Interceptor。

希望这篇文章能帮你彻底理清Filter和Interceptor的区别，在实际开发中做出更合适的技术选型。