Spring Boot 参数校验 Validation 使用

概述

当我们想提供可靠的 API 接口，对参数的校验，以保证最终数据入库的正确性，是必不可少的活。前、后端校验都是保证参数的准确性的手段之一，前端校验并不安全，任何人都可以通过接口来调用我们的服务，就算加了一层token的校验，有心人总会转空子，来传各式各样错误的参数，如果后端不校验，导致数据库数据混乱。传统的方式使用if-else进行参数校验太太繁琐了，如果有几十个字段要校验,那这个方法里面将会变得非常臃肿,实在不够优雅。

虽然使用if else进行参数校验可以实现基本的校验功能，但是这种方式存在以下几个问题：

1. 代码冗余：如果需要对多个接口进行参数校验，就需要在每个接口中编写相同的校验逻辑，代码冗余，维护成本高。
2. 可读性差：如果校验逻辑比较复杂，那么使用 if else 进行校验的代码可读性较差，不利于代码的维护和优化。
3. 安全性差：如果使用 if else 进行校验，那么恶意用户可能会利用漏洞绕过校验，从而导致安全问题。

因此，使用参数校验框架可以有效地解决上述问题，具有以下几个优点：

1. 简化代码：使用参数校验框架可以简化校验逻辑，减少代码冗余，提高代码的可读性和可维护性。
2. 提高安全性：参数校验框架可以避免参数注入、SQL 注入、XSS 攻击等安全问题，提高系统的安全性和可靠性。
3. 提高效率：使用参数校验框架可以提高开发效率，减少开发时间和成本，并且可以方便地进行扩展和定制。

总之，使用参数校验框架可以有效地提高系统的安全性、可靠性和可维护性，减少代码冗余，提高开发效率，是开发过程中不可或缺的一部分。

为什么要使用 Spring Validation 权限校验框架？

有哪些参数校验框架呢？

以下是几个常用的参数校验框架：

1. Hibernate Validator ：Hibernate Validator 是一个基于 Bean Validation 标准的参数校验框架，可以实现对 Java Bean 属性的校验，支持多种校验注解和自定义校验规则。

2. Spring Validation ：Spring Validation 是 Spring 框架提供的参数校验框架，基于 Bean Validation 标准，可以实现对 Java Bean 属性和方法参数的校验，支持多种校验注解和自定义校验规则。

3. Apache Commons Validator ：Apache Commons Validator 是一个通用的参数校验框架，支持多种校验规则和自定义校验规则，可以实现对字符串、数字、日期等数据类型的校验。

4. JSR-303 ：JSR-303 是 Java EE 6 中定义的 Bean Validation 标准，提供了一套参数校验规范和 API，可以实现对 Java Bean 属性的校验，支持多种校验注解和自定义校验规则。

5. Bean-Validation：Bean-Validation 是一款轻量级的参数校验框架，基于 JSR-303 标准，可以实现对 Java Bean 属性的校验，支持多种校验注解和自定义校验规则。

这些框架都可以实现对参数的校验，提供了一套完整的校验规范和 API ，可以有效地避免非法参数和恶意攻击，提高系统的安全性和可靠性。根据不同的业务需求和技术栈，可以选择不同的框架进行参数校验。

为什么使用 Spring Validation ？

1. 基于 Bean Validation 标准：Spring Validation 是基于 Bean Validation 标准的参数校验框架，可以实现对 Java Bean 属性和方法参数的校验，提供了一套完整的校验规范和 API，可以很方便地进行扩展和定制。

2. 支持多种校验注解：Spring Validation 支持多种校验注解，比如 @NotNull、@Size、@Min、@Max 等，可以满足不同的校验需求，同时也支持自定义校验注解。

3. 集成方便：Spring Validation 是 Spring 框架提供的参数校验框架，与 Spring 框架集成非常方便，可以通过简单的配置实现参数校验。

4. 可扩展性强：Spring Validation 提供了很好的扩展性，可以自定义校验注解和校验器，满足不同的校验需求。

5. 可读性高：Spring Validation 的校验注解非常简洁明了，代码可读性高，可以很方便地查看和维护校验逻辑。

总之，使用 pring Validation 参数校验框架可以提高代码的可读性和可维护性，减少代码冗余，提高开发效率，同时还可以有效地避免非法参数和恶意攻击，提高系统的安全性和可靠性。

1、SpringBoot之validation

1.1 validation注解说明

validation 包下其它常用的校验注解：

注意： 字段上面的注解千万不要用错了，不然会报内部错误

1.2 @Valid和@Validated区别

@Valid（javax.validation包下） 和 @Validated（org.springframework.validation.annotation包下）注解。两者大致有以下的区别：

绝大多数场景下，我们使用 @Validated 注解即可。而在有嵌套校验的场景，我们使用 @Valid 注解添加到成员属性上。

@Valid

• 来源：@Valid 是 JSR-303/JSR-349 Bean Validation API 的一部分，该 API 被广泛称为 Bean Validation 或 Hibernate Validator（尽管 Hibernate Validator 是该 API 的一个流行实现）。
• 使用场景：它通常用于方法级别的参数验证，如 Spring MVC 控制器中的方法参数。
• 功能：触发方法参数或返回类型的验证。在 Spring MVC 中，它会自动触发 Spring 的数据绑定和验证机制。
• 限制：默认情况下，@Valid 不能用在类型级别（如类级别）进行组验证，尽管可以通过一些配置或自定义逻辑来实现。

@Validated

• 来源：@Validated 是 Spring Framework 提供的注解，用于扩展 @Valid 的功能。
• 使用场景：它不仅可以用于方法级别的参数验证，还可以用于类级别以支持组验证。
• 功能：除了基本的验证功能外，@Validated 还支持分组验证，允许你根据不同的上下文应用不同的验证规则。
• 分组验证：这是 @Validated 相对于 @Valid 的主要优势。通过定义不同的验证组，可以在不同的情况下应用不同的验证规则。

比较

• 基本功能：两者都用于触发 Bean 验证。
• 来源：@Valid 来自 JSR-303/JSR-349 Bean Validation API，而 @Validated 是 Spring 特有的。
• 分组验证：@Validated 支持分组验证，而 @Valid 不直接支持（尽管可以通过其他方式实现）。
• 使用场景：对于简单的验证场景，@Valid 通常就足够了。但是，如果你需要更复杂的验证逻辑，比如分组验证，那么 @Validated 是更好的选择。

结论

在大多数基本情况下，@Valid 和 @Validated 可以互换使用，因为它们都触发了 Bean 验证。然而，当你需要利用分组验证或其他 Spring 特有的验证功能时，@Validated 提供了更多的灵活性和控制。因此，在选择使用哪个注解时，你应该根据你的具体需求和上下文来决定。

基本使用

参数校验分为简单校验、嵌套校验、分组校验。

1.3 SpringBoot Validation 快速失败(failFast)

SpringBoot Validation 快速失败是指在使用Spring Boot进行参数校验时，当遇到第一个校验失败的情况时，立即停止后续的校验，并抛出异常。这种机制有助于减少不必要的资源消耗，并使得错误信息更加明确和易于处理。以下是关于SpringBoot Validation 快速失败的一些关键点和实现方式：

1、背景与问题

在使用Spring Boot进行开发时，通常会使用Hibernate Validator（或Spring的spring-boot-starter-validation）来进行参数校验。默认情况下，如果一个对象中有多个字段需要校验，并且这些字段使用了多个校验注解（如@NotNull、@Max等），Hibernate Validator会按顺序依次校验这些字段。如果某个字段校验失败，它不会立即停止校验，而是会继续校验其他字段，直到所有字段都被校验完毕。这可能会导致以下问题：

• 返回给前端的错误信息过多，不够明确。
• 浪费系统资源，因为不必要的校验操作仍在继续。

2、实现方式

为了解决上述问题，可以配置Hibernate Validator以启用快速失败模式（failFast）。这样，当遇到第一个校验失败时，就会立即停止后续的校验。以下是几种实现方式：

@Configuration
public class ValidatorConfig {// 第一种@Bean@ConditionalOnMissingBean(Validator.class)public LocalValidatorFactoryBean validator() {LocalValidatorFactoryBean factoryBean = new LocalValidatorFactoryBean();factoryBean.getValidationPropertyMap().put(BaseHibernateValidatorConfiguration.FAIL_FAST, Boolean.TRUE.toString());return factoryBean;}// 第二种@Beanpublic Validator validator(AutowireCapableBeanFactory springFactory) {try (ValidatorFactory factory = Validation.byProvider(HibernateValidator.class).configure()// 快速失败.failFast(true)// 解决 SpringBoot 依赖注入问题.constraintValidatorFactory(new SpringConstraintValidatorFactory(springFactory)).buildValidatorFactory()) {return (Validator) factory.getValidator();}}}

1.4 validation实战

1、导入依赖

新建项目，导入以下依赖

    <dependencies><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter</artifactId></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency><dependency><groupId>com.github.xiaoymin</groupId><artifactId>swagger-bootstrap-ui</artifactId><version>1.9.6</version></dependency><dependency><groupId>io.swagger</groupId><artifactId>swagger-annotations</artifactId><version>1.6.1</version></dependency><dependency><groupId>org.projectlombok</groupId><artifactId>lombok</artifactId></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-validation</artifactId></dependency></dependencies>

2、创建工具类

在项目的根目录下面创建utils包，并在此包下面创建全局统一的返回结果对象Results类

/*** 用于返回* @param <T>*/
@ApiModel("统一返回类")
public class Results<T> {public static final String ERROR = "500";public static final String SUCCESS = "200";/*** 返回码*/@ApiModelProperty("返回码,正确码为：200")private String resCode ;/*** 返回消息*/@ApiModelProperty("返回消息")private String msg ;/*** 返回实体*/@ApiModelProperty("返回实体")private T obj;public static <T> Results<T> success(){return success(SUCCESS,"成功",null);}public static <T> Results<T> success(String msg){return success(SUCCESS,msg,null);}public static <T> Results<T> success(T obj){return success(SUCCESS,"成功",obj);}public static <T> Results<T> success(String msg,T obj){return success(SUCCESS,msg,obj);}public static <T> Results<T> success(String resCode,String msg,T obj){Results<T> result = new Results<T>();result.setResCode(resCode);result.setMsg(msg);result.setObj(obj);return result;}public static <T> Results<T> failed() {return failed(ERROR,"失败",null);}public static <T> Results<T> failed(String msg) {return failed(ERROR,msg,null);}public static <T> Results<T> failed(String msg,T obj) {return failed(ERROR,msg,obj);}public static <T> Results<T> failed(String resCode,String msg) {return failed(resCode,msg,null);}public static <T> Results<T> failed(Integer resCode,String msg) {return failed(String.valueOf(resCode),msg);}public static <T> Results<T> failed(String resCode,String msg,T obj) {Results<T> result = new Results<T>();result.setResCode(resCode);result.setMsg(msg);result.setObj(obj);return result;}public static <T> Results<T> failedNoPermission() {return failed(90005,"没有权限");}public static <T> Results<T> failedNoPermission(String msg) {return failed(90005,msg);}public static <T> Results<T> failedParameterException() {return failed(90004,"参数异常");}public static <T> Results<T> failedParameterException(String msg) {return failed(90004,msg);}public static <T> Results<T> failedLoginException() {return failed(90002,"登录失败");}public static <T> Results<T> failedLoginException(String msg) {return failed(90002,msg);}public String getResCode() {return resCode;}public void setResCode(String resCode) {this.resCode = resCode;}public String getMsg() {return msg;}public void setMsg(String msg) {this.msg = msg;}public T getObj() {return obj;}public void setObj(T obj) {this.obj = obj;}@Overridepublic String toString() {return "Results{" +"resCode='" + resCode + '\'' +", msg='" + msg + '\'' +", obj=" + obj +'}';}
}

3、创建全局异常处理类

在项目的根目录下面创建config包，并在此包下面创建全局统一的返回结果对象ExceptionControllerAdvice 类

• 缺少参数抛出的异常是MissingServletRequestParameterException

• 单参数校验失败后抛出的异常是ConstraintViolationException

• get请求的对象参数校验失败后抛出的异常是BindException

• post请求的对象参数校验失败后抛出的异常是MethodArgumentNotValidException

不同异常对象的结构不同，对异常消息的提取方式也就不同。

• ConstraintViolationException：单个参数校验失败（后端实际接收的一个字段）

• BindException：表单对象参数违反约束，仅对于表单提交有效（接收参数没有加@RequestBody注解），对于以json格式提交将会失效

• MethodArgumentNotValidException：JSON请求参数违反约束，为json格式有效（接收参数加上@RequestBody注解）

• MissingServletRequestParameterException：参数缺失

• MethodArgumentTypeMismatchException：请求参数的类型与处理器方法参数类型不匹配

• HttpMessageNotReadableException：请求体为空、无效的JSON格式、无法将JSON转换为目标对象

@RestControllerAdvice
public class ExceptionControllerAdvice {/*** BindException：表单对象参数违反约束，仅对于表单提交有效（接收参数没有加@RequestBody注解），对于以json格式提交将会失效* MethodArgumentNotValidException：JSON请求参数违反约束，为json格式有效（接收参数加上@RequestBody注解）* ConstraintViolationException：单个参数校验失败（后端实际接收的一个字段）* @param e* @return*/@ResponseStatus(HttpStatus.OK)@ExceptionHandler(value = {BindException.class,ConstraintViolationException.class, MethodArgumentNotValidException.class})public Results MethodArgumentNotValidExceptionHandler(Exception e) {// 从异常对象中拿到ObjectError对象BindingResult br = null;if (e instanceof MethodArgumentNotValidException) {br = ((MethodArgumentNotValidException) e).getBindingResult();} else if (e instanceof BindException) {br = ((BindException) e).getBindingResult();} else if (e instanceof ConstraintViolationException) {Set<ConstraintViolation<?>> violations = ((ConstraintViolationException) e).getConstraintViolations();if (CollectionUtils.isEmpty(violations)) {return Results.failed(String.valueOf(500));}Map<String, String> map = violations.stream().collect(Collectors.toMap(o -> {PathImpl x = (PathImpl) o.getPropertyPath();return x.getLeafNode().toString();}, ConstraintViolation::getMessage, (k1, k2) -> k1));return Results.failed(400,map.toString());}if (br.hasFieldErrors()) {List<FieldError> fieldErrorList = br.getFieldErrors();List<String> errors = new ArrayList<>(fieldErrorList.size());for (FieldError error : fieldErrorList) {errors.add(error.getField() + ":" + error.getDefaultMessage());}// 然后提取错误提示信息进行返回return Results.failed(400,errors.toString());}// 然后提取错误提示信息进行返回return Results.failed("校验错误");}}

4、创建实体类

在项目的根目录下面创建model包，并在此包下面创建全局统一的返回结果对象User类

@Data
public class User {@NotNull(message = "用户名不能为空")@Size(min = 5, max = 20, message = "用户名长度必须在5到20之间")private String username;@NotNull(message = "姓名不能为空")private String name;@NotNull(message = "年龄不能为空")@Min(value = 18, message = "年龄必须大于18")private Integer age;@Email(message = "邮箱格式不对")private String email;@NotEmpty(message = "爱好不能为空")private List<String> hobbies;}

5、创建视图层Controller

在项目的根目录下面创建controller包，并在此包下面创建全局统一的返回结果对象TestController类

@Validated // 单/多个参数校验需要加的注解，不加参数校验不生效
@RestController
public class TestController {// 会进入到MethodArgumentNotValidException异常处理方法@PostMapping("/post")public Results post(@RequestBody @Validated User user) {try {return Results.success(user);} catch (Exception e) {return Results.failed();}}// 多个参数校验需要在controller类上面添加@Validated注解(会进入到ConstraintViolationException全局异常方法里面)@GetMapping("/getConstraint")public Results getConstraint(@NotBlank(message = "姓名不能为空") String name, @NotNull(message = "年龄不能为空")@Min(value = 18, message = "年龄必须大于18") Integer age) {try {return Results.success();} catch (Exception e) {return Results.failed();}}// 会进入到BindException异常处理方法@GetMapping("/getBindException")public Results getBindException(@Validated User user) {try {return Results.success(user);} catch (Exception e) {return Results.failed();}}// 自定义BindException异常，会进入到BindException异常处理方法@PostMapping("/testBindException")public Results testBindException(@RequestBody @Valid User user, BindingResult bindingResult) {try {// 检查验证结果if (bindingResult.hasErrors()) {// 手动抛出BindException，触发异常处理throw new BindException(bindingResult);}return Results.success(user);} catch (Exception e) {return Results.failed();}}}

6、测试结果

post方法

getConstraint方法

getBindException方法

1.5 分组校验

使用方式(示例说明)

准备工作：自定义两个分组。

提示： 继承Default并不是必须的。只是说，如果继承了Default，那么@Validated(value = Create.class)的校验范畴就
为【Create】和【Default】；如果没继承Default，那么@Validated(value = Create.class)的校验范畴只
为【Create】，而@Validated(value = {Create.class, Default.class})的校验范畴才为【Create】和【Default】。

注： Default组和无参构造机制类似，当没有指定分组时，会默认当前校验属于Default组,但是一旦主动给当前校验指定
了分组(如上图中的name字段，主动指定了属于Create组)，那么就不会再额外指定属于Default组了。
追注：当然，也可以画蛇添足的主动指定所属分组为Default。

1、在User类里面添加以下内容

    @NotBlank(message = "密码不能为空",groups = {Add.class})private String password;@NotNull(message = "id不能为空",groups = {Update.class})private Integer id;public interface Update {}public interface Add extends Default {}

2、在controller里面添加以下内容

    @PostMapping("/addUser")public Results addUser(@Validated(User.Add.class) @RequestBody User uer) {try {return Results.success();} catch (Exception e) {return Results.failed();}}@PostMapping("/updateUser")public Results updateUser(@Validated(User.Update.class) @RequestBody User user) {try {return Results.success();} catch (Exception e) {return Results.failed();}}

3、测试

addUser方法

updateUser方法

1.6 多级嵌套模型的校验

1、在model下面创建用户相关的类

Address 类

@Data
public class Address {@NotBlank(message = "城市不能为空",groups = {User.Add.class})private String city;@NotBlank(message = "城市编码不能为空",groups = {User.Add.class})private String zipCode;
}

UserProfile 类

@Data
public class UserProfile {@NotBlank(message = "个人简介不能为空",groups = {User.Add.class})private String bio;@NotBlank(message = "头像URL不能为空",groups = {User.Add.class})private String avatarUrl;@NotBlank(message = "社交媒体链接不能为空",groups = {User.Add.class})private String linkedinUrl;
}

2、在User类里面添加以下内容

  	@Validprivate Address address;@Validprivate UserProfile userProfile;

3、测试

addUser方法

非常感谢以下博主：

https://blog.csdn.net/weixin_51262499/article/details/129910551

https://blog.csdn.net/csdnzhang365/article/details/129141189

https://blog.csdn.net/justry_deng/article/details/86571671