过滤器的工作时机介于浏览器和Servlet请求处理之间，可以拦截浏览器对Servlet的请求，也可以改变Servlet对浏览器的响应。
其工作模式大概是这样的：
一、Filter的原理
在Servlet API中，过滤器接口Filter会依赖于FilterChain和FilterConfig两个接口，都位于package javax.servlet;包中。
在Tomcat容器中，ApplicationFilterChain和ApplicationFilterConfig两个类分别实现了FilterChain和FilterConfig两个接口。
Filter接口和FilterChain接口都有一个叫doFilter()的方法，Filter的doFilter()在web应用中编写具体的过滤器时，由继承Filter的实现类来重写；FilterChain接口的doFilter()方法由Tomcat容器实现了。
相关接口和类的结构关系如下图：
以下简单探索Filter的原理。
ApplicationFilterChain类在Tomcat源码中位于包org.apache.catalina.core中。
用ApplicationFilterConfig类型的数组filters保存了web应用中设置的若干个ApplicationFilterConfig实例，由ApplicationFilterConfig实例可以获得web中定义的Filter实例。因此在这种意义上，ApplicationFilterConfig实例也就的映射成Filter实例。
pos指针记录filters数组中当前的ApplicationFilterConfig实例索引。
n指针存储所有的ApplicationFilterConfig实例数量。
在ApplicationFilterChain中，主要实现了FilterChain的doFilter()方法。
//package org.apache.catalina.core;
//继承javax.servlet.FilterChain(request,response)方法
@Override
public void doFilter(ServletRequest request, ServletResponse response)
throws IOException, ServletException {
if( Globals.IS_SECURITY_ENABLED ) {//判断是否设置安全管理器
final ServletRequest req = request;
final ServletResponse res = response;
try {
java.security.AccessController.doPrivileged(
new java.security.PrivilegedExceptionAction<Void>() {
@Override
public Void run()
throws ServletException, IOException {
internalDoFilter(req,res);//调用内部私有的internalDoFilter()方法
return null;
}
}
);
} catch( PrivilegedActionException pe) {
Exception e = pe.getException();
if (e instanceof ServletException)
throw (ServletException) e;
else if (e instanceof IOException)
throw (IOException) e;
else if (e instanceof RuntimeException)
throw (RuntimeException) e;
else
throw new ServletException(e.getMessage(), e);
}
} else {
internalDoFilter(request,response);//调用内部私有的internalDoFilter()方法
}
}
内部私有的internalDoFilter()方法如下：
private void internalDoFilter(ServletRequest request,ServletResponse response)
throws IOException, ServletException {
if (pos < n) {
ApplicationFilterConfig filterConfig = filters[pos++];
try {
Filter filter = filterConfig.getFilter();
//其他处理省略
if( Globals.IS_SECURITY_ENABLED ) {
//其他处理省略
//通过invoke()调用filter对象的doFilter()方法
SecurityUtil.doAsPrivilege ("doFilter", filter, classType, args, principal);
} else {
//直接调用filter对象的doFilter()方法
filter.doFilter(request, response, this);
}
} catch (IOException | ServletException | RuntimeException e) {
//异常处理省略
}
return;
}
try {
//其他代码省略
if ((request instanceof HttpServletRequest) &&
(response instanceof HttpServletResponse) &&
Globals.IS_SECURITY_ENABLED ) {
//其他代码省略
//通过invoke()调用servlet对象的servicer()方法
SecurityUtil.doAsPrivilege("service",servlet,classTypeUsedInService,args,principal);
} else {
//直接调用servlet对象的service()方法
servlet.service(request, response);
}
} catch (IOException | ServletException | RuntimeException e) {
//异常处理省略
}
}
逻辑已经很清楚，当web应用设置了多了过滤器时（比如同时设置字符过滤器、请求参数编码过滤和静态资源过滤器三个过滤器）。会依次调用这三个Filter实例的doFilter方法，就相当于是一个任务链，完成之后，在调用servlet的service()方法正式处理请求逻辑。
总结起来，过滤器的工作流程大致如下：
请求到来，陆续调用各个Filter实例的doFilter()方法，然后在调用servlet的service()处理请求，之后在执行位于doFilter()方法后的代码处理逻辑，最后才返回给浏览器。
//service()前的处理逻辑
chain.doFilter(req, res);
//service()后的处理逻辑
二、简单应用
常见的设置过滤器的场景为：
1、特殊字符过滤器（如html页面元素：<，>等）；
2、请求参数编码过滤器（GET请求参数和POST请求参数编码设置）；
3、登录检测过滤器（判定用户是否登录）等等。
如下针对2和3的场景实现一个过滤器：
package com.tms.web; import java.io.IOException; import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse; import org.apache.log4j.Logger; public class TMSFilter implements Filter {
private static Logger logger = Logger.getLogger(TMSFilter.class);
public void init(FilterConfig arg0) throws ServletException {
// TODO Auto-generated method stub
}
public void destroy() {
// TODO Auto-generated method stub
}
public void doFilter(ServletRequest resquest, ServletResponse response,
FilterChain chain) throws IOException, ServletException {
// TODO Auto-generated method stub
HttpServletRequest req = (HttpServletRequest)resquest;
HttpServletResponse res = (HttpServletResponse)response;
logger.info(req.getRequestURL());
//用户登录检测
if (req.getSession().getAttribute("hasLoginedUsername") != null) {
//请求参数编码设置
HttpServletRequest wreq = new TMSRequestWrapper(req,"UTF-8");
chain.doFilter(wreq, res);
//service()后的处理逻辑
}else {
res.sendRedirect("/tms/login");
}
}
}
通过继承HttpServletRequestWrapper类，覆盖其getParameter(String name)方法，将请求对象包装处理，使其针对GET和POST请求都能够正确的处理编码问题，这样的好处是集中在一个地方处理编码问题和登录检测，避免了在每个Servlet的doXXX()方法中去写这部分重复的代码，利于重构和维护，体现了DRY原则。
package com.tms.web; import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper; public class TMSRequestWrapper extends HttpServletRequestWrapper {
private String encoding = "";
public TMSRequestWrapper(HttpServletRequest req,String encoding){
super(req);
this.encoding = encoding;
}
public String getParameter(String name){
HttpServletRequest req = (HttpServletRequest)getRequest();
String value = ""; try {
//POST请求编码设置，直接通过setCharacterEncoding()来设置编码方式
req.setCharacterEncoding(encoding);
value = req.getParameter(name);
//如果为GET请求,通过获取字节数据再转化为String对象来设置编码方式
if("GET".equals(req.getMethod())){
if (value != null) {
byte[] b = value.getBytes("ISO-8859-1");//ISO-8859-1
value = new String(b, encoding);
}
}
} catch (Exception e) {
// TODO: handle exception
new RuntimeException(e);
}
return value;
}
}
参考资料：
1、《深入分析java web技术内幕》
2、《Servlet和JSP笔记》
3、apache-tomcat-9.0.1-src