Filter(过滤器)简介
Filter 的基本功能是对 Servlet 容器调用 Servlet 的过程进行拦截，从而在 Servlet 进行响应处理的前后实现一些特殊的功能。
在 Servlet API 中定义了三个接口类来开供开发人员编写 Filter 程序：Filter, FilterChain, FilterConfig
Filter 程序是一个实现了 Filter 接口的 Java 类，与 Servlet 程序相似，它由 Servlet 容器进行调用和执行
Filter 程序需要在 web.xml 文件中进行注册和设置它所能拦截的资源：Filter 程序可以拦截 Jsp, Servlet, 静态图片文件和静态 html 文件
Filter 的基本工作原理
当在 web.xml 中注册了一个 Filter 来对某个 Servlet 程序进行拦截处理时，这个 Filter 就成了 Servlet 容器与该 Servlet 程序的通信线路上的一道关卡，该 Filter 可以对 Servlet 容器发送给 Servlet 程序的请求和 Servlet 程序回送给 Servlet 容器的相应进行拦截，可以决定是否将请求继续传递给 Servlet 程序，以及对请求和相应信息是否进行修改
在一个 web 应用程序中可以注册多个 Filter 程序，每个 Filter 程序都可以对一个或一组 Servlet 程序进行拦截。
若有多个 Filter 程序对某个 Servlet 程序的访问过程进行拦截，当针对该 Servlet 的访问请求到达时，web 容器将把这多个 Filter 程序组合成一个 Filter 链(过滤器链)。Filter 链中各个 Filter 的拦截顺序与它们在应用程序的 web.xml 中映射的顺序一致
Filter 接口
init(FilterConfig filterConfig)throws ServletException：在 web 应用程序启动时，web 服务器将根据 web.xml 文件中的配置信息来创建每个注册的 Filter 实例对象，并将其保存在服务器的内存中。Web容器创建 Filter 对象实例后，将立即调用该 Filter 对象的 init 方法。Init 方法在 Filter 生命周期中仅执行一次，web 容器在调用 init 方法时，会传递一个包含 Filter 的配置和运行环境的
FilterConfig 对象(FilterConfig的用法和ServletConfig类似)。利用FilterConfig对象可以得到ServletContext对象，以及部署描述符中配置的过滤器的初始化参数。在这个方法中，可以抛出ServletException异常，通知容器该过滤器不能正常工作。
destroy()：在Web容器卸载 Filter 对象之前被调用。该方法在Filter的生命周期中仅执行一次。在这个方法中，可以释放过滤器使用的资源。
与开发Servlet不同的是，Filter接口并没有相应的实现类可供继承，要开发过滤器，只能直接实现Filter接口。
doFilter(ServletRequest request,ServletResponse response,
FilterChain chain)throws java.io.IOException,ServletException：
doFilter()方法类似于Servlet接口的service()方法。当客户端请求目标资源的时候，容器就会调用与这个目标资源相关联的过滤器的 doFilter()方法。其中参数 request, response 为 web 容器或 Filter 链的上一个 Filter 传递过来的请求和相应对象；参数 chain 为代表当前 Filter 链的对象，在特定的操作完成后，可以在当前 Filter 对象的 doFilter 方法内部需要调用 FilterChain
对象的 chain.doFilter(request,response)方法才能把请求交付给 Filter 链中的下一个 Filter 或者目标 Servlet 程序去处理，也可以直接向客户端返回响应信息，或者利用RequestDispatcher的forward()和include()方法，以及 HttpServletResponse的sendRedirect()方法将请求转向到其他资源。这个方法的请求和响应参数的类型是 ServletRequest和ServletResponse，也就是说，过滤器的使用并不依赖于具体的协议。
FilterChain接口：
FilterChain接口：代表当前 Filter 链的对象。由容器实现，容器将其实例作为参数传入过滤器对象的doFilter()方法中。过滤器对象使用FilterChain对象调用过滤器链中的下一个过滤器，如果该过滤器是链中最后一个过滤器，那么将调用目标资源。
doFilter(ServletRequest request,ServletResponse response)throws java.io.IOException：调用该方法将使过滤器链中的下一个过滤器被调用。如果是最后一个过滤器，会调用目标资源。
在实现一个过滤器后，需要在 web.xml 中进行注册和设置它所能拦截的资源。这可以通过<filter>和<filter-mapping>元素来完成的。
其配置方式和servlet非常类似，下面是具体的配置代码
<filter>
<filter-name>testFilterConfig</filter-name>
<filter-class>cn.itcast.filter.TestFilterConfigFilter</filter-class>
<!-- 配置当前 Filter 的初始化参数 -->
<init-param>
<param-name>name</param-name>
<param-value>Tom</param-value>
</init-param>
<init-param>
<param-name>password</param-name>
<param-value>123456</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>testFilterConfig</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
/*表示所有的url都需要被这个过滤器所过滤
在同一个 web.xml 文件中可以为同一个 Filter 设置多个映射。若一个 Filter 链中多次出现了同一个 Filter 程序，这个 Filter 程序的拦截处理过程将被多次执行
Filter的典型应用
使浏览器不缓存页面的过滤器：
有 3 个 HTTP 响应头字段都可以禁止浏览器缓存当前页面，它们在 Servlet 中的示例代码如下：
response.setDateHeader("Expires",-1);
response.setHeader("Cache-Control","no-cache");
response.setHeader("Pragma","no-cache");
并不是所有的浏览器都能完全支持上面的三个响应头，因此最好是同时使用上面的三个响应头
典型应用2
字符编码的过滤器
通过配置参数encoding指明使用何种字符编码,以处理Html Form请求参数的中文问题
具体的实例代码如下：
public void doFilter(ServletRequest arg0, ServletResponse arg1,
FilterChain arg2) throws IOException, ServletException {
// TODO Auto-generated method stub
arg0.setCharacterEncoding(“UTF-8”);
arg2.doFilter(arg0, arg1);
}
如何在src目下的代码中获得当前web应用下的文件？
答：可以定义一个servlet，这个servlet不需要映射，将其配置为在服务器启动时就启动，在这个servlet中可以获得 ServletContext对象，利用这个对象就可以获得我们感兴趣的文件的getRealPath（绝对路径），把这个绝对路径保存到我们自定义的一个类的静态变量中就可以了。
如果实现对客户端输入信息的过滤？
答：使用过滤器，但是由于request只能获得页面参数，但是却无法修改页面参数的值并返回给页面（也就是说：只有getParameter方法，但是没有setParameter方法），这个时候我们只能通过继承的方式重写request对象的getParameter方法来实现。这个时候我们提供两种比较常见的方法来实现。
方案1.
继承javax.servlet.http.HttpServletRequestWrapper这个类
这个类实际上是对request对象的装饰，通过构造方法获得一个request对象，其内部所有HttpServletRequest接口中的方法都是实际调用这个request对象来实现的。
使用这个类，传入request对象，我们就只需要对我们感兴趣的方法进行重写，而其他方法则使用request的默认实现
比如这里我们对其中的getParameter方法进行重写
@Override
public String getParameter(String name) {
String value = super.getParameter(name);
if(value != null&&value.contains("bad")){
value = value.replaceAll("bad", "=======");
}
return value;
}
方案2：
使用动态代理，传入一个request对象作为需要被代理的对象，利用动态代理的invoke方法遍历其内部的每个方法，如果发现有名为“getParameter”，就进行覆盖，其他方法则直接调用其最初的实现。
1.区别几个用语：
假设工程为filter
2.web站点的根目录（路径）
web站点的根目录: http://localhost:8080/
3.、web应用的的根目录、
http://localhost:8080/filter/
4.当前目录
当前目录（同一目录下的不同文件）: http://localhost:8080/filter/mydir/
2."/"的意义：(工程为filter)
一、在-form-表单的act
act
act
二、在--重定向--操作中代表web站点的根目录
在LoginServlet.java中：
response.sendRedirect("/hello.jsp"); 代表http://localhost:8080/hello.jsp 不存在，会报错
response.sendRedirect("hello.jsp"); 代表hello.jsp与loginservlet在同一目录下，否则会报错
三、在--转发--操作中代表当前web应用的的根目录
在LoginServlet.java中：
request.getRequestDispatcher("/hello.jsp") 代表http://localhost:8080/filter/hello.jsp
request.getRequestDispatcher("hello.jsp") 代表hello.jsp与loginservlet在同一目录下
四、在--映射路径--操作中代表当前web应用的的根目录
在web.xml文件中：
<url-pattern>/loginservlet</url-pattern> 代表将LoginServlet映射成：http://localhost:8080/filter/LoginServlet
五、无"/"则代表当前目录
要求发送请求的对象与接受请求的对象在同一目录下，否则就会报错
请测试一个例子：
在LonginServlet.java中
request.getRequestDispatcher(servletContext.getContextPath()+"/login.jsp") 是转发到的url为:http://localhost:8080/filter/login.jsp 吗？
答：这个是错误的，转发的时候，“/login.jsp”中的“/” 已经代表当前web应用的根了，如果再加上 servletContext.getContextPath()，最后拼接出来的url是：
/filter/filter/-----，弄出两个filter，肯定出错。
Filter的一些补充
映射 Filter的<dispatcher> 子元素可以设置的值及其意义
REQUEST：当用户直接访问页面时，Web容器将会调用过滤器。如果目标资源是通过RequestDispatcher的include()或forward()方法访问时，那么该过滤器就不会被调用。
INCLUDE：如果目标资源是通过RequestDispatcher的include()方法访问时，那么该过滤器将被调用。除此之外，该过滤器不会被调用。
FORWARD：如果目标资源是通过RequestDispatcher的forward()方法访问时，那么该过滤器将被调用，除此之外，该过滤器不会被调用。
ERROR：如果目标资源是通过声明式异常处理机制调用时，那么该过滤器将被调用。除此之外，过滤器不会被调用。
如果不进行配置，默认是只过滤REQUEST。
当同时配置了好几个过滤相同目标的filter的时候，要注意他们的执行顺序，下图反应了这个顺序。
Servlet监听器
监听器：专门用于对其他对象身上发生的事件或状态改变进行监听和相应处理的对象，当被监视的对象发生情况时，立即采取相应的行动。
Servlet 监听器：Servlet 规范中定义的一种特殊类，它用于监听 web 应用程序中的 ServletContext, HttpSession 和 ServletRequest 等域对象的创建与销毁事件，以及监听这些域对象中的属性发生修改的事件。
ServletContextListener 接口
ServletContextListener 接口用于监听 ServletContext 对象的创建和销毁事件。
当 ServletContext 对象被创建时，激发contextInitialized (ServletContextEvent sce)方法
当 ServletContext 对象被销毁时，激发contextDestroyed(ServletContextEvent sce)方法
HttpSessionListener 接口
HttpSessionListener 接口用于监听HttpSession对象的创建和销毁
创建一个Session时，激发sessionCreated
(HttpSessionEvent se) 方法
销毁一个Session时，激发sessionDestroyed (HttpSessionEvent se) 方法。
ServletRequestListener接口
ServletRequestListener 接口用于监听ServletRequest 对象的创建和销毁
创建一个ServletRequest 对象时，激发requestInitialized(ServletRequestEvent sre)方法
销毁一个Session时，激发requestDestroyed(ServletRequestEvent sre)方法。
HttpSessionBindingListener接口
实现了HttpSessionBindingListener接口的 JavaBean 对象可以感知自己被绑定到 Session 中和从 Session 中删除的事件
当对象被绑定到 HttpSession 对象中时，web 服务器调用该对象的 void valueBound(HttpSessionBindingEvent event) 方法
当对象从 HttpSession 对象中解除绑定时，web 服务器调用该对象的 void valueUnbound(HttpSessionBindingEvent event)方法
filter功能.它使用户可以改变一个 request和修改一个response. Filter 不是一个servlet,它不能产生一个response,它能够在一个request到达servlet之前预处理request,也可以在离开 servlet时处理response.换种说法,filter其实是一个”servlet chaining”(servlet 链).
一个filter 包括:
1. 在servlet被调用之前截获;
2. 在servlet被调用之前检查servlet request;
3. 根据需要修改request头和request数据;
4. 根据需要修改response头和response数据;
5. 在servlet被调用之后截获.
通俗点说法filter相当于加油站，request是条路，response是条路，目的地是servlet，这个加油站设在什么地方对什么数据操作可以由你来控制。
一些需要过滤器的情况：
(1)认证Filter
(2)日志和审核Filter
(3)图片转换Filter
(4)数据压缩Filter
(5)密码Filter
(6)令牌Filter
(7)触发资源访问事件的Filter
(8)XSLT Filter
(9)媒体类型链Filter
1.批量设置请求编码
为了避免提交数据的中文乱码问题，需要在每次使用请求之前设置request.setCharacterEncoding("gb2312")编码格式，麻烦。Filter可以批量拦截修改servlet的请求和响应。
我们编写一个EncodingFilter.java，来批量设置请求编码。
public class EncodingFilter implements Filter {
public void init(FilterConfig config) throws ServletException {}
public void destroy() {}
public void doFilter(ServletRequest request,
ServletResponse response,
FilterChain chain)
throws IOException, ServletException {
request.setCharacterEncoding("gb2312");
chain.doFilter(request, response);
}
}
在此EncodingFilter实现了Filter接口，Filter接口中定义的三个方法都要在EncodingFilter中实现，其中doFilter()的代码实现主要的功能：
为请求设置gb2312编码并执行chain.doFilter()继续下面的操作。
转换成对应HttpServletRequest和HttpServletResponse才能进行下面的session操作和页面重定向。
与servlet相似，为了让filter发挥作用还需要在web.xml进行配置。
<filter>
<filter-name>EncodingFilter</filter-name>
<filter-class>sam.EncodingFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>EncodingFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
filter标签部分定义使用的过滤器，filter-mapping标签告诉服务器把哪些请求交给过滤器处理。这里的/*表示所有请求，/表示根路径，*（星号）代表所有请求，加在一起就变成了根路径下的所有请求。
这样，所有的请求都会先被EncodingFilter拦截，并在请求里设置上指定的gb2312编码。
2.用filter控制用户访问权限
出于信息安全和其他一些原因的考虑，项目中的一些页面要求用户满足了一定条件之后才能访问让用户输入帐号和密码，如果输入的信息正确就在session里做一个成功的标记，这里的成功标志就是session中的username有值;
其后在请求保密信息的时候判断session中是否有已经登录成功的标记，存在则可以访问，不存在则禁止访问。
假设我们要保护的页面是admin/index.jsp
编写SecurityFilter.java，控制用户访问权限
public class SecurityFilter implements Filter {
public void doFilter(ServletRequest request,
ServletResponse response,
FilterChain chain)
throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse res = (HttpServletResponse) response;
HttpSession session = req.getSession();
if (session.getAttribute("username") != null) {
chain.doFilter(request, response);
} else {
res.sendRedirect("../failure.jsp");
}
}
web.xml进行如下配置
<filter>
<filter-name>SecurityFilter</filter-name>
<filter-class>sam.SecurityFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>SecurityFilter</filter-name>
<url-pattern>/admin/*</url-pattern>
</filter-mapping>
定义SecurityFilter过滤器，让它过滤匹配/admin/*的所有请求，/admin/路径下的所有请求都会接受SecurityFilter的检查
因为Filter本来设计成为多种协议服务，http协议仅仅是其中一种,将ServletRequest和ServletResponse转换成HttpServletRequest和HttpServletResponse才能进行下面的session操作和页面重定向。
得到了http请求之后，可以获得请求对应的session，判断session中的username变量是否为null，如果不为null，说明用户已经登录，就可以调用doFilter继续请求访问的资源。如果为null，说明用户还没有登录，禁止用户访问，并使用页面重定向跳转到failure.jsp页面显示提示信息。
因为/failure.jsp的位置在/admin/目录的上一级，所以加上两个点才能正确跳转到failure.jsp，两个点（..）代表当前路径的上一级路径。
3.日志和审核Filter
public class LoggingFilter implements Filter {
private FilterConfig filterConfig = null;
public void init(FilterConfig config) throws ServletException {
this.filterConfig = config;
}
//下面是向服务器控制台输出log，这里做的是演示，更多的是使用log4j
public void doFilter(ServletRequest request, ServletResponse response,
FilterChain chain) throws IOException, ServletException {
String address = request.getRemoteAddr();
filterConfig.getServletContext().log("User IP: " + address);
chain.doFilter(request, response);
}
public void destroy() {
}
}
web.xml配置
<filter>
<filter-name>LoggingFilter</filter-name>
<filter-class>samjava.filter.LoggingFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>LoggingFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
4.filter所谓的特性
请求映射filter-mapping和servlet-mapping都是将对应的filter或servlet映射到某个url-pattern上，当客户发起某一请求时，服务器先将此请求与web.xml中定义的所有url-pattern进行匹配，然后执行匹配通过的filter和servlet。
你可以使用三种方式定义url-pattern。
直接映射一个请求。
<servlet-mapping>
<servlet-name>TestServlet</servlet-name>
<url-pattern>/TestServlet</url-pattern>
</servlet-mapping>
映射一个路径下的所有请求。
<servlet-mapping>
<servlet-name>EncodingFilter</servlet-name>
<url-pattern>/*</url-pattern>
</servlet-mapping>
需要注意的是，这种写法必须以/开头，写成与绝对路径的形式，即便是映射所有请求也要写成/*，不能简化成*。
映射结尾相同的一类请求。
<servlet-mapping>
<servlet-name>ControllerServlet</servlet-name>
<url-pattern>*.do</url-pattern>
</servlet-mapping>
需要注意的是，这种请求映射就不能指定某一路径了，它必须是以星号（*）开始字母结尾，不能写成/*.do的形式。
5.过滤链
我们使用了两个过滤器，EncodingFilter负责设置编码，SecurityFilter负责控制权限，那这两个过滤器是怎么起作用的呢？
所有的奥秘就在Filter中的FilterChain中。服务器会按照web.xml中过滤器定义的先后循序组装成一条链，然后一次执行其中的doFilter()方法。执行的顺序就如上图所示，执行第一个过滤器的chain.doFilter()之前的代码，第二个过滤器的chain.doFilter()之前的代码，请求的资源，第二个过滤器的chain.doFilter()之后的代码，第一个过滤器的chain.doFilter()之后的代码，最后返回响应。
代码执行顺序是：
(1)执行EncodingFilter.doFilter()中chain.doFilter()之前的部分：request.setCharacterEncoding("gb2312");
(2)执行SecurityFilter.doFilter()中chain.doFilter()之前的部分：判断用户是否已登录
(3)如果用户已登录，则访问请求的资源：/admin/index.jsp
(4)如果用户未登录，则页面重定向到：/failure.jsp
(5)执行SecurityFilter.doFilter()中chain.doFilter()之后的部分;
(6)执行EncodingFilter.doFilter()中chain.doFilter()之后的部分;
说的简单点就是filter将按照在web.xml文件中的声明顺序调用。
过滤链的好处是，执行过程中任何时候都可以打断，只要不执行chain.doFilter()就不会再执行后面的过滤器和请求的内容。
要特别注意过滤链的执行顺序问题，像EncodingFilter就一定要放在所有Filter之前(在web.xml文件中)，这样才能确保在使用请求中的数据前设置正确的编码。
6.filter的详细配置
我们已经了解了filter的基本用法，还有一些细节配置在特殊情况下起作用。
在servlet-2.3中，Filter会过滤一切请求，包括服务器内部使用forward转发请求和<%@ include file="/index.jsp"%>的情况。
到了servlet-2.4中Filter默认下只拦截外部提交的请求，forward和include这些内部转发都不会被过滤，但是有时候我们需要forward的时候也用到Filter，这样就需要如下配置。
<filter>
<filter-name>TestFilter</filtername>
<filter-class>sam.TestFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>TestFilter</filtername>
<url-pattern>/*</url-pattern>
<dispatcher>REQUEST</dispatcher>
<dispatcher>FORWARD</dispatcher>
<dispatcher>INCLUDE</dispatcher>
<dispatcher>EXCEPTION</dispatcher>
</filter-mapping>
这样TestFilter就会过滤所有状态下的请求。如果我们没有进行设置，默认使用的就是REQUEST。而EXCEPTION是在isErrorPage="true"的情况下出现的，这个用处不多，看一下即可。
这里FORWARD是解决request.getDispatcher("index.jsp").forward(request, response);无法触发Filter的关键，配置上这个以后再进行forward的时候就可以触发过滤器了。