PUT 和 POST 在未知属性上失败 Spring 不同的行为

Question

我正在使用 Spring Data Rest 存储库编写 Spring Boot 应用程序，如果请求正文包含具有未知属性的 JSON，我想拒绝访问资源。简化实体和存储库的定义：

@Entity
public class Person{
    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private long id;

    private String firstName;
    private String lastName;

    /* getters and setters */
}

@RepositoryRestResource(collectionResourceRel = "people", path = "people")
public interface PersonRepository extends CrudRepository<Person, Long> {}

我使用 Jackson 的反序列化功能来禁止 JSON 中的未知属性。

@Bean 
public Jackson2ObjectMapperBuilder objectMapperBuilder(){
    Jackson2ObjectMapperBuilder builder = new Jackson2ObjectMapperBuilder();
    builder.failOnUnknownProperties(true);
    return builder;
}

当我发送 POST 请求时，一切都按预期工作。当我使用有效字段时，我会得到正确的响应：

curl -i -x POST -H "Content-Type:application/json" -d '{"firstName": "Frodo", "lastName": "Baggins"}' http://localhost:8080/people
{
  "firstName": "Frodo",
  "lastName": "Baggins",
  "_links": {...}
}

当我发送带有未知字段的 JSON 时，应用程序会抛出预期的错误：

curl -i -x POST -H "Content-Type:application/json" -d '{"unknown": "POST value", "firstName": "Frodo", "lastName": "Baggins"}' http://localhost:8080/people
com.fasterxml.jackson.databind.exc.UnrecognizedPropertyException: Unrecognized field "unknown" (class Person), not marked as ignorable (2 known properties: "lastName", "firstName")

使用有效 JSON 时的 PUT 方法也会返回正确的响应。但是，当我发送带有未知字段的 PUT 请求时，我希望 Spring 会抛出错误，但 Spring 会更新数据库中的对象并返回它：

curl -i -x PUT -H "Content-Type:application/json" -d '{"unknown": "PUT value", "firstName": "Bilbo", "lastName": "Baggins"}' http://localhost:8080/people/1
{
  "firstName": "Bilbo",
  "lastName": "Baggins",
  "_links": {...}
}

只有当数据库中没有给定id的对象时才会抛出错误：

curl -i -x PUT -H "Content-Type:application/json" -d '{"unknown": "PUT value", "firstName": "Gandalf", "lastName": "Baggins"}' http://localhost:8080/people/100
com.fasterxml.jackson.databind.exc.UnrecognizedPropertyException: Unrecognized field "unknown" (class Person), not marked as ignorable (2 known properties: "lastName", "firstName")

是 Spring Data Rest 中的预期行为还是错误？无论请求方法是什么，当将具有未知属性的 JSON 传递给应用程序时，如何抛出错误？

我通过修改 http://spring.io/guides/gs/accessing-data-rest/ 重现了这种行为，我所做的唯一更改是 Jackson2ObjectMapperBuilder ，此项目中没有其他控制器或存储库。

Answer 1

我认为您观察到的行为是设计使然。当发布 POST 时，您正在创建资源，以便将 JSON 反序列化为您的实体类型，并且 Jackson 正在执行此任务。

PUT 在 Spring Data Rest 中的工作方式不同。有趣的部分在PersistentEntityResourceHandlerMethodArgumentResolver.readPutForUpdate处理。

json 被读入JsonNode，实体从数据存储中读取，然后在DomainObjectReader.doMerge 中实现迭代 json 字段。它将 json 应用于实体并稍后在控制器实现中保存。它还会丢弃持久实体中不存在的所有字段：

if (!mappedProperties.hasPersistentPropertyForField(fieldName)) {
    i.remove();
    continue;
}

这是我阅读代码的理解。我认为您可以争辩说这是一个错误。您可以尝试在 spring data rest`s jira 报告它 - https://jira.spring.io/browse/DATAREST。据我所知，没有办法自定义这种行为。

Answer 2

当它创建新实体时，它会通过涉及所需验证的反序列化过程将 json 直接转换为 java 实体对象。但是当它更新现有实体时，它会将 json 转换为JsonNode，然后与现有实体合并，并且正如预期的那样不会发生验证，因为它是 json 反序列化为 java 对象的功能。

作为解决方法，您还可以将JsonNode 转换为实体对象，它会按您的预期工作。

我做了快速示例如何获得所需的验证。

转到https://github.com/valery-barysok/gs-accessing-data-rest

这不是一个明确的解决方案，但你可以改进它:)

此示例覆盖类路径 org.springframework.data.rest.webmvc.config.PersistentEntityResourceHandlerMethodArgumentResolver 上现有的 spring 类

注意您必须将此类放在原始版本之前的类路径中。

我确实将这个类复制到项目并修改了readPutForUpdate方法：

private Object readPutForUpdate(IncomingRequest request, ObjectMapper mapper, Object existingObject,
                                RootResourceInformation information) {

    try {

        JsonPatchHandler handler = new JsonPatchHandler(mapper, reader);
        JsonNode jsonNode = mapper.readTree(request.getBody());
        // Here we have required validation
        mapper.treeToValue(jsonNode, information.getDomainType());

        return handler.applyPut((ObjectNode) jsonNode, existingObject);

    } catch (Exception o_O) {
        throw new HttpMessageNotReadableException(String.format(ERROR_MESSAGE, existingObject.getClass()), o_O);
    }
}

我使用application.properties文件配置DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES

Answer 3

您可以使用以下方法注释您的模型：

@Entity
@JsonIgnoreProperties(ignoreUnknown=false)
public class Person{
    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private long id;

    private String firstName;
    private String lastName;

    /* getters and setters */
}

Answer 4

您正在使用Jackson2ObjectMapperBuilder，它的属性DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES 默认设置为disabled 值。