自动化接口校验 如何在项目中优雅的校验参数

本文看点

自动化接口校验 如何在项目中优雅的校验参数(1)

前言

验证数据是贯穿所有应用程序层(从表示层到持久层)的常见任务。通常在每一层实现相同的验证逻辑,这既费时又容易出错。为了避免重复这些验证,开发人员经常将验证逻辑直接捆绑到域模型中,将域类与验证代码混在一起,这些验证代码实际上是关于类本身的元数据,与业务逻辑不相关。

自动化接口校验 如何在项目中优雅的校验参数(2)

JSR 380——Bean Validation2.0——定义了用于实体和方法验证的元数据模型和API,将数据校验逻辑通过注解的形式封装在实体对象中。

自动化接口校验 如何在项目中优雅的校验参数(3)

1.关于JSR

JSR是Java Specification Requests的缩写,意思是Java 规范提案。是指向JCP(Java Community Process)提出新增一个标准化技术规范的正式请求。任何人都可以提交JSR,以向Java平台增添新的API和服务。JSR已成为Java界的一个重要标准。

JSR-303 是JAVA EE 6 中的一项子规范,后来的版本是Bean Validation 1.1(JSR-349),目前最新版本是Bean Validation 2.0(JSR-380),Hibernate Validator 是 Bean Validation 的参考实现 ,除了Jakarta Bean验证API定义的约束之外,Hibernate Validator还有一些附加的 constraint;并且spring-boot-starter-web默认集成了Hibernate Validator。(springboot2.3版本已经移除hibernate-validator的依赖,需要手动引入

自动化接口校验 如何在项目中优雅的校验参数(4)

2.为什么使用Hibernate Validator

  • 提高代码整洁度;
  • 验证逻辑与业务逻辑之间进行了分离,降低了程序耦合度;
  • 统一且规范的验证方式,无需你再次编写重复的验证代码;
  • 你将更专注于你的业务,将这些繁琐的事情统统丢在一边。

3.注解介绍

JSR 380内置常用注解

注解 详细信息
@Null 被注释的元素必须为 null
@NotNull 被注释的元素必须不为 null
@AssertTrue 被注释的元素必须为 true
@AssertFalse 被注释的元素必须为 false
@Min(value) 被注释的元素可以是字符串、数值类型,如果元素是字符串类型,将值转为BigDecimal类型,并与value属性进行比对,值必须大于等于指定的value值
@Max(value) 被注释的元素可以是字符串、数值类型,如果元素是字符串类型,将值转为BigDecimal类型,并与value属性进行比对,值必须小于等于指定的value值
@DecimalMin(value) 被注释的元素可以是字符串、数值(可以带小数点),将注解内value的值转为BigDecimal类型,必须大于等于指定的最小值(可以配置是否等于value,默认是包含的)
@DecimalMax(value) 被注释的元素可以是字符串、数值(可以带小数点),将注解内value的值转为BigDecimal类型,其值必须小于等于指定的最大值(可以配置是否等于value,默认是包含的)
@Size(max, min) 被注释的元素的大小必须在指定的范围内,可用于字符串、Collection、Map、数组等类型
@Digits (integer, fraction) 被注释的元素必须是一个数字,其值必须在可接受的范围内
@Past 被注释的元素必须是一个过去的日期
@Future 被注释的元素必须是一个将来的日期
@Pattern(value) 被注释的元素必须符合指定的正则表达式
@Email 被注释的元素必须是电子邮箱地址
@NotBlank 验证字符串非null,且trim后长度必须大于0
@NotEmpty 适用于String、Collection、Map或者数组不能为Null且长度或元素个数必须大于0
@Valid 具体作用下面会列举

Hibernate Validator 附加的 constraint

注解 详细信息
@Length 被注释的字符串的大小必须在指定的范围内
@URL 根据RFC2396标准校验注释的字符串必须是一个的有效的url
@Range 被注释的元素必须在合适的范围内,应用于数值或字符串
@UniqueElements 检查带注释的集合是否只包含唯一的元素。相等性是使用equals()方法确定的。
@SafeHtml 检查带注释的值是否包含潜在的恶意片段,如<script/>。如用这个注解需要引入jsoup的依赖,用来解析html代码

注意

  • @NotNull :适用于任何类型被注解的元素,必须不能为NULL
  • @NotEmpty :适用于String、Collection、Map或者数组,不能为Null且长度或元素个数必须大于0
  • @NotBlank:验证字符串非null,且trim后长度必须大于0

@Validated与@Valid的区别:

  • @Validated注解是spring提供的,提供了一个分组功能,可以在入参验证时,根据不同的分组采用不同的验证机制。没有添加分组属性时,默认验证没有分组的验证属性(Default分组);

  • @Validated:可以用在类型、方法和方法参数上,但是不能用在成员属性(字段)上

  • @Validated: 用在方法入参上无法单独提供嵌套验证功能,也无法提示框架进行嵌套验证。能配合嵌套验证注解@Valid进行嵌套验证。

  • @Valid:作为标准JSR-303规范,还没有吸收分组的功能;

  • @Valid:可以用在方法、方法参数、构造函数、方法参数和成员属性(字段)上

  • @Valid加在方法参数时并不能够自动进行嵌套验证,而是用在需要嵌套验证类的相应字段上,来配合方法参数上@Validated或@Valid来进行嵌套验证。

4.使用

由于spring-boot-starter-web(springboot 2.3以下版本)依赖默认集成了Hibernate Validator,所以无需添加任何依赖和相关配置,只需要在项目中引入spring-boot-starter-web依赖即可(演示springboot版本为2.1.2.RELEASE),由于要用到@SafeHtml注解,这里需要加上jsoup的依赖。

<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> </dependency> <!-- 解析html片段--> <dependency> <groupId>org.jsoup</groupId> <artifactId>jsoup</artifactId> <version>1.8.3</version> </dependency>

Hibernate Validator有两种校验模式:

  • 普通模式(会校验完所有的属性,然后返回所有的验证失败信息,默认是这个模式)

  • 快速失败返回模式(只要有一个字段验证失败,就返回结果)

    在@Configuration Class中配置以下代码,将Validator设置为快速失败返回模式

    @Bean public Validator validator(){ ValidatorFactory validatorFactory = Validation.byProvider( HibernateValidator.class) .configure() .addProperty( "hibernate.validator.fail_fast", "true" ) .buildValidatorFactory(); Validator validator = validatorFactory.getValidator(); return validator; }

a.对象校验

1.在对象中添加注解

@Data public class User { //注解对静态变量不生效 @NotBlank(message = "性别不能为空") private static String sex; @NotBlank(message = "姓名不能为空") @Size(min = 2,max = 5,message = "姓名长度不规范") private String name; @NotNull(message = "年龄不能为空") @Max(value = 30,message = "年龄超过最大值30") @Range(min=30,max=60) private Integer age; @DecimalMax(value = "108.88",message = "超过最大108.88",inclusive = false) private Double price; @Past(message = "生日不能大于当前日期") @JsonFormat(pattern = "yyyy-MM-dd HH:mm:ss") private LocalDateTime birthday; @Email(message = "电子邮箱格式不正确") private String email; @SafeHtml(message = "非法请求参数") private String content; }

2.进入Controller对应方法,在需要校验的对象前添加@Valid注解即可(校验对静态变量不生效),在使用 @Valid 注解的参数后可以紧跟着一个 BindingResult 类型的参数,用于获取校验结果(将校验结果封装在BingdingResult对象中,不会抛出异常)

注意:@Valid 和 BindingResult 是一一对应的,如果有多个@Valid,那么每个@Valid后面跟着的BindingResult就是这个@Valid的验证结果,顺序不能乱

//单个对象校验 @PostMapping("user") //校验参数后边跟BindingResult,spring不会抛出异常,将校验结果封装在这个对象中 public String person(@Valid User user,BindingResult bindingResult){ System.out.println(user); StringBuilder sb = new StringBuilder(); if(bindingResult.hasErrors()){ List<ObjectError> allErrors = bindingResult.getAllErrors(); for(ObjectError error:allErrors){ sb.append(error.getDefaultMessage() ","); } } return sb.toString(); }

3.如果此时去掉实体对象后面的BindingResult,如校验未通过会抛出BindException异常,需要在全局异常处理器中捕获并统一处理

4.全局异常处理器配置

@RestControllerAdvice @Slfj @AutoConfigurationPackage public class GlobalExceptionHandler { //spring-context包里面的异常 //实体对象前不加@RequestBody注解,单个对象内属性校验未通过抛出的异常类型 @ExceptionHandler(BindingException.class) public ResponseEntity<ExceptionResponseVO> methodArguments(BindingException e){ log.warn("throw BindingException,{}",e); return ResponseEntity.status(HttpStatus.BAD_REQUEST) .body(ExceptionResponseVO.error(NEError.INVALID_PARAMETER, e.getBindingResult().getFieldError().getDefaultMessage())); } //实体对象前不加@RequestBody注解,校验方法参数或方法返回值时,未校验通过时抛出的异常 //Validation-api包里面的异常 @ExceptionHandler(ValidationException.class) public ResponseEntity<ExceptionResponseVO> methodArguments(ValidationException e){ log.warn("throw ValidationException,{}",e); return ResponseEntity.status(HttpStatus.BAD_REQUEST) .body(ExceptionResponseVO.error(NEError.INVALID_PARAMETER,e.getCause().getMessage())); } //spring-context包里面的异常,实体对象前加@RequestBody注解,抛出的异常为该类异常 //方法参数如果带有@RequestBody注解,那么spring mvc会使用RequestResponseBodyMethodProcessor //对参数进行序列化,并对参数做校验 @ExceptionHandler(MethodArgumentNotValidException.class) public ResponseEntity<ExceptionResponseVO> methodArguments(MethodArgumentNotValidException e){ log.warn("throw MethodArgumentNotValidException,{}",e); return ResponseEntity.status(HttpStatus.BAD_REQUEST) .body(ExceptionResponseVO.error(NEError.INVALID_PARAMETER, e.getBindingResult().getFieldError().getDefaultMessage())); } @ExceptionHandler(Exception.class) public ResponseEntity methodArguments(Exception e){ log.warn("throw exception,{}",e); return ResponseEntity.badRequest().body(e.getMessage()); } }

b.级联校验

如果一个对象内部包含另一个对象作为属性,属性上加 @Valid,可以验证作为属性的对象内部的验证

@Data public class User2 { @NotBlank(message = "姓名不能为空") private String name; @Max(value = 50,message = "年龄不能为空") private Integer age; @Valid @NotNull(message = "商品不能为空") private Goods goods; }

@Data public class Goods{ @NotBlank(message = "商品名称不能为空") private String goodsName; @NotNull(message = "商品价格不能为空") private Double goodsPrice; }

如果级联校验内元素的属性校验未通过,抛出MethodArgumentNotValidException异常,注意在全局异常处理器捕获该异常并处理

//级联校验 @PostMapping("cascade") public String cascade(@Valid @RequestBody User2 user2){ return "OK"; }

c.容器元素校验

用来校验实体对象内集合中的元素,在容器泛型前加注解,可实现对容器单个元素的校验;如下:

@Data public class User3 { @NotBlank(message = "姓名不能为空") private String name; @Max(value = 50,message = "年龄不能为空") private Integer age; @Valid @NotEmpty(message = "商品列表不能为空") private List<@NotNull(message = "商品不能为空") Goods> goodsList; }

如果容器元素校验未通过,抛出异常MethodArgumentNotValidException(与级联校验抛出的一样)

//容器元素校验 @PostMapping("container") public String container(@Valid @RequestBody User3 user3){ return "OK"; }

d.方法的校验

JSR 303标准定义接口ExecutableValidator,用来校验方法参数,Hibernate Validator实现了该接口(ValidatorImpl.class),不仅对Object的属性进行校验,还可以对方法参数、返回值、构造函数参数等进行校验;Spring 在此基础上进行了扩展,添加了MethodValidationPostProcessor拦截器,通过AOP实现对方法的校验;此时抛出的异常是javax.validation.ConstraintViolationException

注意 :必须在Controller上面加上注解@Validated,否则校验规则无效

@RestController @RequestMapping("validator") @Validated public class ValidatorController { @GetMapping("demo1") public String test1(@Range(min = 1,max = 999,message = "起始笔数超过区间范围")@RequestParam int pageIndex, @Range(min = 1,max = 999,message = "查询笔数超过区间范围")@RequestParam int pageSize){ return "ok"; } }

除了校验Controller方法外,也可校验Service(必须是单例的bean,否则不生效,因为方法参数校验逻辑底层用AOP来实现)等方法,用法如下:

@Service @Validated public class UserService { //校验方法参数 public String queryUserName(@NotNull(message = "用户参数不能为空") User user){ return user.getName(); } //校验方法返回值 @NotNull(message = "用户信息不存在") public User queryUser(User user){ return null; } }

e.分组校验的实现

分组

同一个校验规则,不可能适用于所有的业务场景,对每一个业务场景去编写一个校验规则,又显得特别冗余。实际上我们可以用到Hibernate-Validator的分组功能,达到对不同场景做出不同的校验逻辑,减少DTO对象的创建。

比如一个User对象,新增的时候不需要检验id(系统生成),修改的时候需要检验id属性,要想复用Class,就可以使用Hibernate Validator的分组。

实例代码:

@Data public class UserGroup { @NotNull(message = "id不能为空",groups = UpdateUser.class) private Integer id; @NotBlank(message = "姓名不能为空",groups = AddUser.class) private String name; @NotNull(message = "年龄不能为空",groups = AddUser.class) private Integer age; public interface AddUser{} public interface UpdateUser{} }

添加用户:在需要校验的对象前面加@Validated注解(不能使用@Valid注解),并配置分组class,此时AddUser的分组校验规则生效。

//分组校验:添加用户 @PostMapping("addUser") public String addUser(@Validated(UserGroup.AddUser.class) UserGroup userGroup){ return "OK"; }

修改用户:配置UpdateUser分组

//分组校验:修改用户 @PostMapping("updateUser") public String updateUser(@Validated(UserGroup.UpdateUser.class) UserGroup userGroup){ return "OK"; }

使用分组能极大的复用需要验证的Class信息,而不是按业务重复编写冗余的类。

注意:如果指定了校验组,则该属性将不再属于默认的校验组Default.class,则在省略校验组参数的情况下,将不会校验自定义校验组的属性。

组序列

除了按组指定是否验证之外,还可以指定组的验证顺序,前面组验证不通过的,后面组不进行验证;其中@GroupSequence提供组序列的形式进行顺序式校验,即先校验@Save分组的,如果校验不通过就不进行后续的校验分组了。我认为顺序化的校验,场景更多的是在业务处理类,例如联动的属性验证,值的有效性很大程度上不能从代码的枚举或常量类中来校验。

实例代码:

@Data public class UserDTO { @NotNull(message = "id不能为空",groups = {UpdateUser.class}) private Integer id; @NotBlank(message = "姓名不能为空",groups = {AddUser.class}) private String name; @NotNull(message = "年龄不能为空",groups = {AddUser.class}) private Integer age; @NotNull(message = "版本不能为空")//不配置goups,默认就是Default分组 private Integer version; @GroupSequence({AddUser.class, UpdateUser.class, Default.class}) public interface AddUpdateGroup{} public interface AddUser{} public interface UpdateUser{} }

首先校验AddUser分组的注解,如果AddUser校验不通过,就不会去校验UpdateUser和Default的分组

@PostMapping("user") public String saveUser(@Validated(UserDTO.AddUpdateGroup.class) UserDTO userDTO){ userMapper.addUser(userDTO); return "ok"; }

5.自定义constraint

一般情况,自定义验证可以解决很多问题;某些业务场景下又需要做一些特别的参数校验,此时,我们可以实现validator的接口,自定义验证器。

创建自定义注解@Sex,该注解是放在字段上的,也可以根据业务场景放在方法或者Class上面)用于判断性别是否符合约束

@Target({ ElementType.FIELD}) @Retention(RetentionPolicy.RUNTIME) @Constraint(validatedBy = SexConstraintValidator.class) public @interface Sex { String message() default "性别参数有误"; Class<?>[] groups() default {}; Class<? extends Payload>[] payload() default { }; }

创建自定义验证器

public class SexConstraintValidator implements ConstraintValidator<Sex,String> { /** * 性别约束逻辑 * @param value * @param constraintValidatorContext * @return */ @Override public boolean isValid(String value, ConstraintValidatorContext constraintValidatorContext) { //如果value为null,那么该校验规则不生效;可搭配@NotNull注解使用,更加灵活 if(value == null){ return true; } return "男".equals(value) || "女".equals(value); } }

要验证的DTO对象

@Data public class UserDTO { @NotNull(message = "id不能为空") private Integer id; @NotBlank(message = "姓名不能为空") private String name; @NotNull(message = "年龄不能为空") private Integer age; @NotNull(message = "版本不能为空") private Integer version; @Sex private String sex; }

在UserDTO对象前加@Valid注解,可实现对性别字段的合法性校验,sex只能传入“男“或“女”。

这只是一个小例子,大家可以根据业务场景自定义参数校验器,例如敏感词校验、预防sql注入、js脚本攻击等等,都可以用自定义校验器来完成。

,

免责声明:本文仅代表文章作者的个人观点,与本站无关。其原创性、真实性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容文字的真实性、完整性和原创性本站不作任何保证或承诺,请读者仅作参考,并自行核实相关内容。文章投诉邮箱:anhduc.ph@yahoo.com

    分享
    投诉
    首页