Un filtro di autenticazione è un controllo a livello servlet che ispeziona una richiesta HTTP in arrivo prima che raggiunga il codice dell'applicazione. Il suo compito è decidere se la richiesta è già autenticata, deve essere reindirizzata al login oppure deve essere rifiutata. Nelle applicazioni web Java, spesso si colloca all'inizio della pipeline delle richieste, insieme al routing e alla gestione delle sessioni.
Questo controllo è importante perché definisce il confine di accesso. Se il filtro è configurato in modo errato, aggirato tramite un URL alternativo o applicato in modo incoerente alle richieste inoltrate, un attaccante può raggiungere endpoint sensibili senza una sessione valida. Ciò può trasformare un semplice errore di controllo degli accessi in un'esposizione pre-autenticazione, inclusi l'accesso ai dati o, nei casi più gravi, l'esecuzione di codice lato server. I difensori dovrebbero verificare che il filtro copra ogni route, inclusi controller personalizzati, inoltri interni e percorsi API, e che i controlli di autorizzazione siano ripetuti anche a livello di logica di business.