我有一个使用 Spring Boot 1.2.0-RELEASE 实现的 REST-full web 服务，偶尔会在启动时抛出以下异常。

03-Feb-2015 11:42:23.697 SEVERE [localhost-startStop-1] org.apache.catalina.core.ContainerBase.addChildInternal ContainerBase.addChild: start: 
 org.apache.catalina.LifecycleException: Failed to start component [StandardEngine[Catalina].StandardHost[localhost].StandardContext[]]
        at org.apache.catalina.util.LifecycleBase.start(LifecycleBase.java:154)
        at org.apache.catalina.core.ContainerBase.addChildInternal(ContainerBase.java:725)
...
Caused by: java.lang.IllegalStateException: Duplicate Filter registration for 'springSecurityFilterChain'. Check to ensure the Filter is only configured once.
        at org.springframework.security.web.context.AbstractSecurityWebApplicationInitializer.registerFilter(AbstractSecurityWebApplicationInitializer.java:215)
        at org.springframework.security.web.context.AbstractSecurityWebApplicationInitializer.insertSpringSecurityFilterChain(AbstractSecurityWebApplicationInitializer.java:147)
...

当我说“偶尔”时，我的意思是只要重新启动 Tomcat 服务器(版本 8.0.17)就会产生此异常，或者会成功加载而不会出现问题。

这是一个基于 Spring Boot 构建的 Servlet 3.0 应用程序，因此我们没有传统的 web.xml 文件。相反，我们使用 Java 初始化我们的 servlet。

package com.v.dw.webservice;

import org.springframework.boot.builder.SpringApplicationBuilder;
import org.springframework.boot.context.web.SpringBootServletInitializer;

public class WebXml extends SpringBootServletInitializer {

    @Override
    protected SpringApplicationBuilder configure(SpringApplicationBuilder application) {
        return application.sources(ApplicationConfig.class);
    }
}

我们在开发过程中还利用了mvn spring-boot:run命令，这样运行时还没有出现这个race condition。我们配置的“root”和maven使用的main方法在同一个类中:

package com.v.dw.webservice;

import javax.sql.DataSource;

import org.springframework.beans.factory.annotation.Value;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.actuate.autoconfigure.ManagementSecurityAutoConfiguration;
import org.springframework.boot.autoconfigure.EnableAutoConfiguration;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.boot.autoconfigure.jdbc.DataSourceBuilder;
import org.springframework.boot.autoconfigure.security.SecurityAutoConfiguration;
import org.springframework.boot.context.properties.ConfigurationProperties;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Primary;

@SpringBootApplication
@EnableAutoConfiguration(exclude = {ManagementSecurityAutoConfiguration.class, SecurityAutoConfiguration.class})
public class ApplicationConfig {

    public static void main(String[] args) {
        SpringApplication.run(ApplicationConfig.class, args);
    }

    @Value("${info.build.version}")
    private String apiVersion;

    @Bean
    @Primary
    @ConfigurationProperties(prefix="datasource.primary")
    public DataSource primaryDataSource() {
        return DataSourceBuilder.create().build();
    }

}

我已尝试简化我们的身份验证逻辑以使用自定义内存中身份验证提供程序进行测试。据我所知，这是类路径上唯一的自定义身份验证提供程序，我们不会在应用程序根包之外导入任何配置类。

不幸的是，Spring 和 Tomcat 提供的日志输出没有帮助提供任何关于错误的上下文，所以我尝试从这里获取 AbstractSecurityWebApplictionInitializer 源代码:

https://raw.githubusercontent.com/spring-projects/spring-security/rb3.2.5.RELEASE/web/src/main/java/org/springframework/security/web/context/AbstractSecurityWebApplicationInitializer.java

我修改了 registerFilter(...) 方法，试图通过添加 System.out 调用来生成一些有用的调试输出。

private final void registerFilter(ServletContext servletContext, boolean insertBeforeOtherFilters, String filterName, Filter filter) {
    System.out.println(">>>>>> Registering filter '" + filterName + "' with: " + filter.getClass().toString());
    Dynamic registration = servletContext.addFilter(filterName, filter);
    if(registration == null) {
        System.out.println(">>>>>> Existing filter '" + filterName + "' as: " + servletContext.getFilterRegistration(filterName).getClassName());
        throw new IllegalStateException("Duplicate Filter registration for '" + filterName +"'. Check to ensure the Filter is only configured once.");
    }
    registration.setAsyncSupported(isAsyncSecuritySupported());
    EnumSet<DispatcherType> dispatcherTypes = getSecurityDispatcherTypes();
    registration.addMappingForUrlPatterns(dispatcherTypes, !insertBeforeOtherFilters, "/*");
}

当它失败时，调试输出只会在异常发生前生成一次。这表明 registerFilter(...) 方法仅被调用一次，并且在 Spring 加载过程中相对较晚:

>>>>>> Registering filter 'springSecurityFilterChain' with: class org.springframework.web.filter.DelegatingFilterProxy
>>>>>> Existing filter 'springSecurityFilterChain' as: org.springframework.security.web.FilterChainProxy

运行时，调试输出如下所示:

>>>>>> Registering filter 'springSecurityFilterChain' with: class org.springframework.web.filter.DelegatingFilterProxy

  .   ____          _            __ _ _
 /\\ / ___'_ __ _ _(_)_ __  __ _ \ \ \ \
( ( )\___ | '_ | '_| | '_ \/ _` | \ \ \ \
 \\/  ___)| |_)| | | | | || (_| |  ) ) ) )
  '  |____| .__|_| |_|_| |_\__, | / / / /
 =========|_|==============|___/=/_/_/_/
 :: Spring Boot ::        (v1.2.0.RELEASE)

这表明安全配置在加载过程中发生得更早，当它工作时而不是当它失败时。

最佳答案

我认为您的应用程序中必须有一个 AbstractSecurityWebApplicationInitializer 的具体子类。 Spring 的 Servlet 3.0 支持将找到此 WebApplicationInitializer 实现并在 Tomcat 启动您的应用程序时调用它。这会触发注册 Spring Security 过滤器的尝试。您还有扩展 SpringBootServletInitializer 的 WebXml 类。这也是一个 WebApplicationInitializer，它会在 Tomcat 启动您的应用程序时被调用。由于 Spring Boot 的自动配置支持，这也会触发注册 Spring Security 过滤器的尝试。

您的 WebXml 类没有声明订单(它没有实现 Spring 的 Ordered 接口(interface)，也没有用 @Order 注释).我猜你的 AbstractSecurityWebApplicationInitializer 子类也是如此。这意味着它们都具有相同的顺序(默认)，因此 Spring 可以自由地以任何顺序调用它们。当您的 AbstractSecurityWebApplicationInitializer 子类首先运行时，您的应用程序会工作，因为 Spring Boot 可以容忍已经存在的过滤器。如果在 Spring Boot 首先启动时失败，因为 AbstractSecurityWebApplicationInitializer 不是那么宽容。

综上所述，当您使用 Spring Boot 时，您甚至可能不需要 AbstractSecurityWebApplicationInitializer，因此最简单的解决方案可能是删除它。如果您确实需要它，那么您应该为它和WebXml 分配一个顺序(用@Order 注释或实现Ordered) 以便 WebXml 保证始终在您的 AbstractSecurityWebApplicationInitializer 子类之后调用。

关于java - 明显的 Spring Boot 竞争条件导致重复的 springSecurityFilterChain 注册，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/28306031/