[Spring] Filter vs. Interceptor

Filter (javax.servlet.Filter)

🔹 역할

• 웹 애플리케이션에서 요청과 응답을 가로채는 역할을 합니다.
• 주로 보안, 인코딩, 로깅, 인증, 권한 검사 등에 사용됩니다.
• 서블릿 컨테이너 레벨에서 동작하며, DispatcherServlet 앞에서 실행됩니다.

🔹 동작 방식

1. 클라이언트 요청이 들어오면 Filter가 가장 먼저 실행됩니다.
2. 필터에서 요청을 변형하거나, 로깅 등을 수행할 수 있습니다.
3. chain.doFilter(request, response)를 호출하면 다음 필터 또는 서블릿으로 요청이 전달됩니다.
4. 응답이 생성되면 다시 Filter에서 응답을 조작할 수 있습니다.

import jakarta.servlet.*;
import jakarta.servlet.annotation.WebFilter;
import java.io.IOException;

@WebFilter("/*")  // 모든 요청에 대해 적용
public class MyFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) 
            throws IOException, ServletException {
        System.out.println("요청이 필터를 통과합니다.");
        
        // 다음 필터 또는 컨트롤러로 요청 전달
        chain.doFilter(request, response);
        
        System.out.println("응답이 필터를 통과합니다.");
    }
}

🔹 Filter의 특징

• DispatcherServlet 이전에 실행됨
• Spring과 관계없이 서블릿 레벨에서 동작
• URL 패턴을 기준으로 적용 가능
• 여러 개의 필터를 등록할 수 있으며, 순서를 조정 가능

Interceptor (HandlerInterceptor)

🔹 역할

• Spring MVC에서 컨트롤러의 요청을 가로채는 역할을 합니다.
• 주로 로그인 체크, 인증, 권한 검사, 로깅 등에 사용됩니다.
• DispatcherServlet이 요청을 처리하기 전후에 실행됩니다.

🔹 동작 방식

1. 요청이 들어오면 preHandle()이 실행됨 → 컨트롤러 실행 여부 결정 가능
2. 컨트롤러가 실행됨
3. 컨트롤러 실행 후 postHandle()이 실행됨 → 모델 데이터 수정 가능
4. 뷰가 렌더링된 후 afterCompletion()이 실행됨 → 예외 처리 및 리소스 정리

import org.springframework.web.servlet.HandlerInterceptor;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;

public class MyInterceptor implements HandlerInterceptor {
    
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) 
            throws Exception {
        System.out.println("Interceptor: 요청을 가로챕니다.");
        return true;  // true: 요청을 컨트롤러로 보냄, false: 요청 차단
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, 
                           ModelAndView modelAndView) throws Exception {
        System.out.println("Interceptor: 컨트롤러 실행 후");
    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, 
                                Exception ex) throws Exception {
        System.out.println("Interceptor: 뷰 렌더링 후");
    }
}


import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new MyInterceptor())
                .addPathPatterns("/api/**")  // 특정 경로에만 적용
                .excludePathPatterns("/login", "/signup");  // 예외 경로 설정
    }
}

🔹 Interceptor의 특징

• DispatcherServlet 이후에 실행됨
• Spring MVC에서 동작하며, HandlerMapping을 통해 컨트롤러 단에서 요청을 가로챔
• addPathPatterns() 및 excludePathPatterns()을 사용하여 특정 URL 패턴에만 적용 가능
• preHandle()에서 요청을 차단할 수도 있음

Filter vs Interceptor

구분	Filter	Interceptor
실행 위치	DispatcherServlet 이전	DispatcherServlet 이후
동작 수준	서블릿 수준 (Spring과 무관)	Spring MVC 수준 (HandlerMapping 이후)
주 사용 목적	보안, 인코딩, 로깅, 요청 수정	인증, 권한 검사, 로깅, 데이터 조작
요청 차단 가능	doFilter()에서 가능	preHandle()에서 가능
설정 방식	@WebFilter 또는 FilterRegistrationBean	addInterceptors() 사용

언제 무엇을 사용할까?

• 전역적으로 모든 요청을 가로채야 한다면 → Filter
  • 예: CORS 설정, 인코딩 변환, 공통 로깅, 요청/응답 변조
• Spring MVC에서 특정 컨트롤러 로직 전후를 가로채야 한다면 → Interceptor
  • 예: 로그인 여부 확인, JWT 인증, API 요청 로깅

실행 순서 요약 (Spring MVC 기준)

단계	실행 주체	설명
1️⃣	Filter	DispatcherServlet 이전 (Servlet 스펙)
2️⃣	Interceptor (preHandle)	Controller 호출 전
3️⃣	@Aspect (Around / Before)	메서드 레벨 AOP 진입
4️⃣	Controller	실제 로직 실행
5️⃣	@Aspect (After / AfterReturning / AfterThrowing)	Controller 메서드 종료 이후
6️⃣	Interceptor (postHandle / afterCompletion)	응답 직전, 뷰 렌더링 이후
7️⃣	ResponseBodyAdvice (if applicable)	JSON 가공 등 응답 커스터마이징

Interceptor에서 return false를 하게 되면

컨트롤러는 실행되지 않고, 이후 로직이 중단됩니다.

응답은 직접 작성해주지 않으면 아무 내용 없이 종료됩니다.

return false만 하고 응답을 작성하지 않으면	❌ 브라우저는 응답이 없거나 빈 페이지로 보임
응답이 없는데도 상태코드가 200일 수도 있음	⛔ 클라이언트 입장에서 혼란 발생
즉시 종료되기 때문에 postHandle, afterCompletion, AOP, Controller 등 전부 실행되지 않음	🔒 완전 중단됨

@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
    if (isInvalidRequest()) {
        response.setStatus(HttpServletResponse.SC_FORBIDDEN);
        response.setContentType("application/json;charset=UTF-8");

        String body = new ObjectMapper().writeValueAsString(Map.of(
            "status", 403,
            "message", "잘못된 요청입니다."
        ));

        response.getWriter().write(body);
        return false;
    }

    return true;
}

 

 

 

https://mangkyu.tistory.com/173