如何在 Spring MVC 控制器方法中检查未绑定的请求参数？

Question

给定一个 Spring-MVC 控制器方法：

@RequestMapping(value = "/method")
public void method(ParamModel params) { /*...*/ }

带模型类：

public class ParamModel { public int param1; }

以下两个结果符合预期/期望：

• 使用param1=1:method 的请求成功完成。
• 请求param1=blah: JBWEB000120: The request sent by the client was syntactically incorrect.

不过……

• 如果使用附加参数（例如nonexistentparam=1）发出请求，没有错误。

如果请求包含不属于此 API 的任何参数，是否有办法确保请求得到验证并被拒绝？

Answer 1

有一种方法可以覆盖控制器请求方法调用：

@Bean
public WebMvcRegistrations mvcRegistrations() {
  return new WebMvcRegistrationsAdapter() {
    @Override
    public RequestMappingHandlerAdapter getRequestMappingHandlerAdapter() {
      return new RequestMappingHandlerAdapter() {
        private ParameterNameDiscoverer parameterNameDiscoverer = new DefaultParameterNameDiscoverer();

        @Override
        protected ServletInvocableHandlerMethod createInvocableHandlerMethod(HandlerMethod handlerMethod) {
          return new ServletInvocableHandlerMethod(handlerMethod) {
            Set<String> boundParametersNames = Stream.of(getMethodParameters())
                .map(methodParameter -> {
                  methodParameter.initParameterNameDiscovery(parameterNameDiscoverer);
                  return methodParameter.getParameterName();
                })
                .collect(Collectors.toSet());

            @Override
            public Object invokeForRequest(NativeWebRequest request,
                                           ModelAndViewContainer mavContainer,
                                           Object... providedArgs) throws Exception {
              for (Iterator<String> iterator = request.getParameterNames(); iterator.hasNext(); ) {
                String parameterName = iterator.next();
                if (!boundParametersNames.contains(parameterName)) {
                  return ResponseEntity.status(HttpStatus.BAD_REQUEST).body(null);
                }
              }
              return super.invokeForRequest(request, mavContainer, providedArgs);
            }
          };
        }
      };
    }
  };
}

在 InvocableHandlerMethod 中，请求参数和方法参数都可以轻松访问和验证。

Answer 2

最明显、无聊和非弹性的选择是使用：

@RequestParam Map<String,String> allRequestParams

...并自己检查参数列表。它当然需要您手动解析（到整数等）和验证值，而不是使用 DTO 和/或 javax.validation 注释。

完整示例（需要将 InvalidParamsException 映射到状态码）：

@GetMapping("/my_strict_api")
public void myStrictApi(@RequestParam Map<String,String> allRequestParams) {
  Set<String> allowed = new HashSet<>(Arrays.asList("cat", "dog"));
  if (!allowed.containsAll(allRequestParams.keySet())) {
    throw new InvalidParamsException("We only accept: " + allowed.toString());
  }
  // You should also validate the parameter values before using them
}

Answer 3

Spring 的 @RequestMapping 采用“params”参数。

文档：

映射请求的参数，缩小主映射。

任何环境的相同格式：“myParam=myValue”样式的序列 表达式，只有在每个这样的参数都被映射时才映射请求 发现有给定的值。表达式可以通过使用 "!=" 运算符，如 "myParam!=myValue"。 “myParam”样式表达式 也支持，这些参数必须存在于 请求（允许有任何值）。最后，“！myParam”样式 表达式表明指定的参数不应该 出现在请求中。

另一种可能性是使用PathVariable（始终需要）或RequestParam 和参数required=true。

更新：

您可以通过继承 RequestMappingHandlerMapping 并覆盖 getCustomMethodCondition/getCustomTypeCondition 来创建自己的请求映射条件。

但是 XML 配置 <mvc:annotation-driven/> 不能使用，因为它也声明了这个 Bean，你最终会得到 2 个处理程序映射。 详情请看Adding custom RequestCondition's in Spring mvc 3.1。

Answer 4

您可以使用过滤器来检查无效参数，如

web.xml

<filter>
    <filter-name>MyFilter</filter-name>
    <filter-class>com.mypackage.filter.MyFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>MyFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

MyFilter 类

import javax.servlet.Filter;
public class MyFilter implements Filter {

    public void destroy() {
    }

    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException {
        String requestUrl = request.getParameter("param1");
    //here I am considering 'param1=1' as valid request rest of all are invalid
             if(!requestUrl.equals("1")) {
        logger.info("Invalid Request"); 
        //for invalid request redirect to error or login page
        response.sendRedirect("/error"");           
    } else {
        logger.info("Valid Request");   
    }
    }

    public void init(FilterConfig filterConfig) throws ServletException {
    }       

}

希望这能解决您的问题

Answer 5

一个好的做法是 Bean-Validation (JSR-303)。这是Document

保持简单，你需要在你的 spring 配置中有这个：

<mvc:annotation-driven />

你可以在你的代码中包含这个：

@RequestMapping(value = "/method")
public void method(@Valid ParamModel params, BindingResult result) {
    if(result.hasErrors()) {...}
    else {...}
}

public class ParamModel { 
    @SomeAnnotation // details see document 
    private int param1; 
}