共计 5413 个字符，预计需要花费 14 分钟才能阅读完成。
Filter 可以对请求进行预处理，因此，我们可以把很多公共预处理逻辑放到 Filter 中完成。
考察这样一种需求：我们在 Web 应用中经常需要处理用户上传文件，例如，一个 UploadServlet 可以简单地编写如下：
| public class UploadServlet extends HttpServlet {protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {// 读取 Request Body: | |
| InputStream input = req.getInputStream(); | |
| ByteArrayOutputStream output = new ByteArrayOutputStream(); | |
| byte[] buffer = new byte[1024]; | |
| for (;;) {int len = input.read(buffer); | |
| if (len == -1) {break; | |
| } | |
| output.write(buffer, 0, len); | |
| } | |
| // TODO: 写入文件: | |
| // 显示上传结果: | |
| String uploadedText = output.toString(StandardCharsets.UTF_8); | |
| PrintWriter pw = resp.getWriter(); | |
| pw.write("<h1>Uploaded:</h1>"); | |
| pw.write("<pre><code>"); | |
| pw.write(uploadedText); | |
| pw.write("</code></pre>"); | |
| pw.flush();} | |
| } |
但是要保证文件上传的完整性怎么办？在哈希算法一节中，我们知道，如果在上传文件的同时，把文件的哈希也传过来，服务器端做一个验证，就可以确保用户上传的文件一定是完整的。
这个验证逻辑非常适合写在 ValidateUploadFilter 中，因为它可以复用。
我们先写一个简单的版本，快速实现 ValidateUploadFilter 的逻辑：
| public class ValidateUploadFilter implements Filter { | |
| public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) | |
| throws IOException, ServletException {HttpServletRequest req = (HttpServletRequest) request; | |
| HttpServletResponse resp = (HttpServletResponse) response; | |
| // 获取客户端传入的签名方法和签名: | |
| String digest = req.getHeader("Signature-Method"); | |
| String signature = req.getHeader("Signature"); | |
| if (digest == null || digest.isEmpty() || signature == null || signature.isEmpty()) {sendErrorPage(resp, "Missing signature."); | |
| return; | |
| } | |
| // 读取 Request 的 Body 并验证签名: | |
| MessageDigest md = getMessageDigest(digest); | |
| InputStream input = new DigestInputStream(request.getInputStream(), md); | |
| byte[] buffer = new byte[1024]; | |
| for (;;) {int len = input.read(buffer); | |
| if (len == -1) {break; | |
| } | |
| } | |
| String actual = toHexString(md.digest()); | |
| if (!signature.equals(actual)) {sendErrorPage(resp, "Invalid signature."); | |
| return; | |
| } | |
| // 验证成功后继续处理: | |
| chain.doFilter(request, response); | |
| } | |
| // 将 byte[]转换为 hex string: | |
| private String toHexString(byte[] digest) {StringBuilder sb = new StringBuilder(); | |
| for (byte b : digest) {sb.append(String.format("%02x", b)); | |
| } | |
| return sb.toString();} | |
| // 根据名称创建 MessageDigest: | |
| private MessageDigest getMessageDigest(String name) throws ServletException {try {return MessageDigest.getInstance(name); | |
| } catch (NoSuchAlgorithmException e) {throw new ServletException(e); | |
| } | |
| } | |
| // 发送一个错误响应: | |
| private void sendErrorPage(HttpServletResponse resp, String errorMessage) throws IOException {resp.setStatus(HttpServletResponse.SC_BAD_REQUEST); | |
| PrintWriter pw = resp.getWriter(); | |
| pw.write("<html><body><h1>"); | |
| pw.write(errorMessage); | |
| pw.write("</h1></body></html>"); | |
| pw.flush();} | |
| } |
这个 ValidateUploadFilter 的逻辑似乎没有问题，我们可以用 curl 命令测试：
| curl http://localhost:8080/upload/file -v -d 'test-data' \ | |
| -H 'Signature-Method: SHA-1' \ | |
| -H 'Signature: 7115e9890f5b5cc6914bdfa3b7c011db1cdafedb' \ | |
| -H 'Content-Type: application/octet-stream' | |
| * Trying ::1... | |
| * TCP_NODELAY set | |
| * Connected to localhost (::1) port 8080 (#0) | |
| POST /upload/file HTTP/1.1 | |
| Host: localhost:8080 | |
| User-Agent: curl/7.64.1 | |
| Accept: */* | |
| Signature-Method: SHA-1 | |
| Signature: 7115e9890f5b5cc6914bdfa3b7c011db1cdafedb | |
| Content-Type: application/octet-stream | |
| Content-Length: 9 | |
| * upload completely sent off: 9 out of 9 bytes | |
| < HTTP/1.1 200 | |
| < Transfer-Encoding: chunked | |
| < Date: Thu, 30 Jan 2020 13:56:39 GMT | |
| < | |
| * Connection #0 to host localhost left intact | |
| <h1>Uploaded:</h1><pre><code></code></pre> | |
| * Closing connection 0 |
ValidateUploadFilter对签名进行验证的逻辑是没有问题的，但是，细心的童鞋注意到，UploadServlet并未读取到任何数据！
这里的原因是对 HttpServletRequest 进行读取时，只能读取一次。如果 Filter 调用 getInputStream() 读取了一次数据，后续 Servlet 处理时，再次读取，将无法读到任何数据。怎么办？
这个时候，我们需要一个“伪造”的 HttpServletRequest，具体做法是使用代理模式，对getInputStream() 和getReader()返回一个新的流：
| class ReReadableHttpServletRequest extends HttpServletRequestWrapper {private byte[] body; | |
| private boolean open = false; | |
| public ReReadableHttpServletRequest(HttpServletRequest request, byte[] body) {super(request); | |
| this.body = body; | |
| } | |
| // 返回 InputStream: | |
| public ServletInputStream getInputStream() throws IOException {if (open) {throw new IllegalStateException("Cannot re-open input stream!"); | |
| } | |
| open = true; | |
| return new ServletInputStream() {private int offset = 0; | |
| public boolean isFinished() {return offset >= body.length; | |
| } | |
| public boolean isReady() {return true; | |
| } | |
| public void setReadListener(ReadListener listener) { } | |
| public int read() throws IOException {if (offset >= body.length) {return -1; | |
| } | |
| int n = body[offset] & 0xff; | |
| offset++; | |
| return n; | |
| } | |
| }; | |
| } | |
| // 返回 Reader: | |
| public BufferedReader getReader() throws IOException {if (open) {throw new IllegalStateException("Cannot re-open reader!"); | |
| } | |
| open = true; | |
| return new BufferedReader(new InputStreamReader(new ByteArrayInputStream(body), "UTF-8")); | |
| } | |
| } |
注意观察 ReReadableHttpServletRequest 的构造方法，它保存了 ValidateUploadFilter 读取的 byte[] 内容，并在调用 getInputStream() 时通过 byte[] 构造了一个新的ServletInputStream。
然后，我们在 ValidateUploadFilter 中，把 doFilter() 调用时传给下一个处理者的 HttpServletRequest 替换为我们自己“伪造”的ReReadableHttpServletRequest：
| public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) | |
| throws IOException, ServletException { | |
| ... | |
| chain.doFilter(new ReReadableHttpServletRequest(req, output.toByteArray()), response); | |
| } |
再注意到我们编写 ReReadableHttpServletRequest 时，是从 HttpServletRequestWrapper 继承，而不是直接实现 HttpServletRequest 接口。这是因为，Servlet 的每个新版本都会对接口增加一些新方法，从 HttpServletRequestWrapper 继承可以确保新方法被正确地覆写了，因为 HttpServletRequestWrapper 是由 Servlet 的 jar 包提供的，目的就是为了让我们方便地实现对 HttpServletRequest 接口的代理。
我们总结一下对 HttpServletRequest 接口进行代理的步骤：
- 从
HttpServletRequestWrapper继承一个XxxHttpServletRequest，需要传入原始的HttpServletRequest实例； - 覆写某些方法，使得新的
XxxHttpServletRequest实例看上去“改变”了原始的HttpServletRequest实例； - 在
doFilter()中传入新的XxxHttpServletRequest实例。
虽然整个 Filter 的代码比较复杂，但它的好处在于：这个 Filter 在整个处理链中实现了灵活的“可插拔”特性，即是否启用对 Web 应用程序的其他组件（Filter、Servlet）完全没有影响。
练习
使用 Filter 修改 HttpServletRequest 请求。
下载练习
小结
借助 HttpServletRequestWrapper，我们可以在 Filter 中实现对原始HttpServletRequest 的修改。
