路由与参数 | Next-gen Tech Edu

参数校验

Mon, 01 Jan 0001 00:00:00 +0000

参数校验

请求参数的校验是很多新手开发非常容易犯错，或存在较多改进点的常见场景。比较常见的问题主要表现在以下几个方面：

仅依靠前端框架解决参数校验，缺失服务端的校验。这种情况常见于需要同时开发前后端的时候，虽然程序的正常使用不会有问题，但是开发者忽略了非正常操作。比如绕过前端程序，直接模拟客户端请求，这时候就会突然在前端预设的各种限制，直击各种数据访问接口，使得我们的系统存在安全隐患。
大量地使用if/else语句嵌套实现，校验逻辑晦涩难通，不利于长期维护。

所以，针对上面的问题，建议服务端开发在实现接口的时候，对于请求参数必须要有服务端校验以保障数据安全与稳定的系统运行。同时，对于参数的校验实现需要足够优雅，要满足逻辑易读、易维护的基本特点。

JSR-303

JSR 是 Java Specification Requests 的缩写，意思是 Java 规范提案。是指向 JCP(Java Community Process)提出新增一个标准化技术规范的正式请求。任何人都可以提交 JSR，以向 Java 平台增添新的 API 和服务。JSR 已成为 Java 界的一个重要标准。JSR-303 是 JAVA EE 6 中的一项子规范，叫做 Bean Validation，Hibernate Validator 是 Bean Validation 的参考实现。Hibernate Validator 提供了 JSR 303 规范中所有内置 constraint 的实现，除此之外还有一些附加的 constraint。Bean Validation 中内置的 constraint 如下：

在 JSR-303 的标准之下，我们可以通过上面这些注解，优雅的定义各个请求参数的校验。

快速开始

在要校验的字段上添加上 @NotNull 注解，具体如下：

@Data
@ApiModel(description="用户实体")
public class User {

 @ApiModelProperty("用户编号")
 private Long id;

 @NotNull
 @ApiModelProperty("用户姓名")
 private String name;

 @NotNull
 @ApiModelProperty("用户年龄")
 private Integer age;

}

在需要校验的参数实体前添加 @Valid 注解，具体如下：

@PostMapping("/")
@ApiOperation(value = "创建用户", notes = "根据User对象创建用户")
public String postUser(@Valid @RequestBody User user) {
 users.put(user.getId(), user);
 return "success";
}

完成上面配置之后，启动应用，并用 POST 请求访问 localhost:8080/users/接口，body 使用一个空对象，{}。你可以用 Postman 等测试工具发起，也可以使用 curl 发起，比如这样：

curl -X POST \
 http://localhost:8080/users/ \
 -H 'Content-Type: application/json' \
 -H 'Postman-Token: 72745d04-caa5-44a1-be84-ba9c115f4dfb' \
 -H 'cache-control: no-cache' \
 -d '{

}'

不出意外，你可以得到如下结果：

{
 "timestamp": "2019-10-05T05:45:19.221+0000",
 "status": 400,
 "error": "Bad Request",
 "errors": [
 {
 "codes": [
 "NotNull.user.age",
 "NotNull.age",
 "NotNull.java.lang.Integer",
 "NotNull"
 ],
 "arguments": [
 {
 "codes": ["user.age", "age"],
 "arguments": null,
 "defaultMessage": "age",
 "code": "age"
 }
 ],
 "defaultMessage": "不能为null",
 "objectName": "user",
 "field": "age",
 "rejectedValue": null,
 "bindingFailure": false,
 "code": "NotNull"
 },
 {
 "codes": [
 "NotNull.user.name",
 "NotNull.name",
 "NotNull.java.lang.String",
 "NotNull"
 ],
 "arguments": [
 {
 "codes": ["user.name", "name"],
 "arguments": null,
 "defaultMessage": "name",
 "code": "name"
 }
 ],
 "defaultMessage": "不能为null",
 "objectName": "user",
 "field": "name",
 "rejectedValue": null,
 "bindingFailure": false,
 "code": "NotNull"
 }
 ],
 "message": "Validation failed for object='user'. Error count: 2",
 "path": "/users/"
}

其中返回内容的各参数含义如下：

timestamp：请求时间
status：HTTP 返回的状态码，这里返回 400，即：请求无效、错误的请求，通常参数校验不通过均为 400
error：HTTP 返回的错误描述，这里对应的就是 400 状态的错误描述：Bad Request
errors：具体错误原因，是一个数组类型；因为错误校验可能存在多个字段的错误，比如这里因为定义了两个参数不能为Null，所以存在两条错误记录信息
message：概要错误消息，返回内容中很容易可以知道，这里的错误原因是对 user 对象的校验失败，其中错误数量为2，而具体的错误信息就定义在上面的errors数组中
path：请求路径

请求的调用端在拿到这个规范化的错误信息之后，就可以方便的解析并作出对应的措施以完成自己的业务逻辑了。

其他校验

在完成了上面的例子之后，我们还可以增加一些校验规则，比如：校验字符串的长度、校验数字的大小、校验字符串格式是否为邮箱等。下面我们就来定义一些复杂的校验定义，比如：

@Data
@ApiModel(description="用户实体")
public class User {

 @ApiModelProperty("用户编号")
 private Long id;

 @NotNull
 @Size(min = 2, max = 5)
 @ApiModelProperty("用户姓名")
 private String name;

 @NotNull
 @Max(100)
 @Min(10)
 @ApiModelProperty("用户年龄")
 private Integer age;

 @NotNull
 @Email
 @ApiModelProperty("用户邮箱")
 private String email;

}

参数注入

Mon, 01 Jan 0001 00:00:00 +0000

参数注入

路径参数

路径参数即指处理请求的 Uri 部分，不含 queryString 部分，当使用 @RequestMapping URI template 样式映射时，即 someUrl/{paramId}，这时的 paramId 可通过 @Pathvariable 注解绑定它传过来的值到方法的参数上。

@Controller
@RequestMapping("/owners/{ownerId}")
public class RelativePathUriTemplateController {

 @RequestMapping("/pets/{petId}")
 public void findPet(@PathVariable String ownerId, @PathVariable String petId, Model model) {
 // implementation omitted
 }
}

上面代码把 URI template 中变量 ownerId 的值和 petId 的值，绑定到方法的参数上。若方法参数名称和需要绑定的 Uri Template 中变量名称不一致，需要在@PathVariable(“name”) 指定 Uri Template 中的名称。

请求头

Request Header 部分的注解包括了 @RequestHeader 与 @CookieValue，@RequestHeader 注解，可以把 Request 请求 header 部分的值绑定到方法的参数上。这是一个 Request 的 header 部分：

Host localhost:8080
Accept text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language fr,en-gb;q=0.7,en;q=0.3
Accept-Encoding gzip,deflate
Accept-Charset ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive 300

可以通过如下方式来获取对应的参数值：

@RequestMapping("/displayHeaderInfo.do")
public void displayHeaderInfo(@RequestHeader("Accept-Encoding") String encoding,
 @RequestHeader("Keep-Alive") long keepAlive) {

 //...

}

上面的代码，把 request header 部分的 Accept-Encoding 的值，绑定到参数 encoding 上了，Keep-Alive header 的值绑定到参数 keepAlive 上。@CookieValue 可以把 Request header 中关于 cookie 的值绑定到方法的参数上。例如有如下 Cookie 值：

JSESSIONID=415A4AC178C59DACE0B2C9CA727CDD84

参数绑定的代码：

@RequestMapping("/displayHeaderInfo.do")
public void displayHeaderInfo(@CookieValue("JSESSIONID") String cookie) {
 //...
}

即把 JSESSIONID 的值绑定到参数 cookie 上。

请求体

@RequestParam 常用来处理简单类型的绑定，类似于通过 Request.getParameter() 获取的 String 可直接转换为简单类型的情况，简单类型的转换操作由 ConversionService 配置的转换器来完成。它可以处理 get 方式中 queryString 的值，也可以处理 post 方式中 body data 的值；用来处理 Content-Type 为application/x-www-form-urlencoded编码的内容，提交方式 GET、POST。

@Controller
@RequestMapping("/pets")
@SessionAttributes("pet")
public class EditPetForm {

 // ...

 @RequestMapping(method = RequestMethod.GET)
 public String setupForm(@RequestParam("petId") int petId, ModelMap model) {
 Pet pet = this.clinic.loadPet(petId);
 model.addAttribute("pet", pet);
 return "petForm";
 }

 // ...

该注解有两个属性： value、required； value 用来指定要传入值的 id 名称，required 用来指示参数是否必须绑定；因为配置有 FormHttpMessageConverter，所以也可以用来处理 application/x-www-form-urlencoded 的内容，处理完的结果放在一个 MultiValueMap<String, String>里，这种情况在某些特殊需求下使用，详情查看 FormHttpMessageConverter api;

@RequestMapping(value = "/something", method = RequestMethod.PUT)
public void handle(@RequestBody String body, Writer writer) throws IOException {
 writer.write(body);
}

@SessionAttributes 与 @ModelAttribute

该注解用来绑定 HttpSession 中的 attribute 对象的值，便于在方法中的参数里使用。该注解有 value、types 两个属性，可以通过名字和类型指定要使用的 attribute 对象；

@Controller
@RequestMapping("/editPet.do")
@SessionAttributes("pet")
public class EditPetForm {
 // ...
}

该注解有两个用法，一个是用于方法上，一个是用于参数上；

用于方法上时：通常用来在处理@RequestMapping 之前，为请求绑定需要从后台查询的 model；
用于参数上时：用来通过名称对应，把相应名称的值绑定到注解的参数 bean 上；

HttpServletRequest & HttpServletResponse

@Autowired HttpServletRequest request;

注意，HttpServletResponse 无法使用自动注入进行插入，如果需要获取该对象，可以在具体的 Controller 方法中加入 HttpServletResponse 这个参数，譬如：

public DeferredResult<String> autologin(
 @PathVariable String user_id,//路徑參數,在统一的鉴权的Aspect中完成替换
 @RequestParam("requestData") String requestData,//請求數據,
 HttpServletResponse response//固定写法，把HttpServletResponse放在最后
)

这样的话就可以在 AOP 中获取到 response 对象。

文件上传

Mon, 01 Jan 0001 00:00:00 +0000

Spring 文件上传

我们可以定义如下的模板：

<!DOCTYPE html>
<html>
 <head lang="en">
 <meta charset="UTF-8" />
 <title>文件上传页面</title>
 </head>
 <body>
 <h1>文件上传页面</h1>
 <form method="post" action="/upload" enctype="multipart/form-data">
 选择要上传的文件：<input type="file" name="file" /><br />
 <hr />
 <input type="submit" value="提交" />
 </form>
 </body>
</html>

然后创建文件上传的处理控制器，命名为 UploadController：

@Controller
@Slf4j
public class UploadController {

 @Value("${file.upload.path}")
 private String path;

 @GetMapping("/")
 public String uploadPage() {
 return "upload";
 }

 @PostMapping("/upload")
 @ResponseBody
 public String create(@RequestPart MultipartFile file) throws IOException {
 String fileName = file.getOriginalFilename();
 String filePath = path + fileName;

 File dest = new File(filePath);
 Files.copy(file.getInputStream(), dest.toPath());
 return "Upload file success : " + dest.getAbsolutePath();
 }

}

其中包含这几个重要元素：

成员变量 path，通过@Value 注入配置文件中的 file.upload.path 属性。这个配置用来定义文件上传后要保存的目录位置。
GET 请求，路径/，用于显示 upload.html 这个文件上传页面。
POST 请求。路径/upload，用于处理上传的文件，即：保存到 file.upload.path 配置的路径下面。

编辑 application.properties 配置文件：

spring.servlet.multipart.max-file-size=2MB
spring.servlet.multipart.max-request-size=2MB
file.upload.path=/Users/didi/

多文件处理

<!DOCTYPE html>
<html>
 <head lang="en">
 <meta charset="UTF-8" />
 <title>文件上传页面 - didispace.com</title>
 </head>
 <body>
 <h1>文件上传页面</h1>
 <form method="post" action="/upload" enctype="multipart/form-data">
 文件1：<input type="file" name="files" /><br />
 文件2：<input type="file" name="files" /><br />
 <hr />
 <input type="submit" value="提交" />
 </form>
 </body>
</html>

可以看到这里多增加一个 input 文件输入框，同时文件输入框的名称修改为了 files，因为是多个文件，所以用了复数。注意：这几个输入框的 name 是一样的，这样才能在后端处理文件的时候组织到一个数组中。

@PostMapping("/upload")
@ResponseBody
public String create(@RequestPart MultipartFile[] files) throws IOException {
 StringBuffer message = new StringBuffer();

 for (MultipartFile file : files) {
 String fileName = file.getOriginalFilename();
 String filePath = path + fileName;

 File dest = new File(filePath);
 Files.copy(file.getInputStream(), dest.toPath());
 message.append("Upload file success : " + dest.getAbsolutePath()).append("<br>");
 }
 return message.toString();
}

MultipartFile 使用数组，参数名称 files 对应 html 页面中 input 的 name，一定要对应。
后续处理文件的主体（for 循环内）跟之前的一样，就是对 MultipartFile 数组通过循环遍历的方式对每个文件进行存储，然后拼接结果返回信息。

单元测试

普通接口的单元测试我们是如何写的？看看我们入门例子中的单元测试：

@SpringBootTest
public class Chapter11ApplicationTests {

 private MockMvc mvc;

 @Before
 public void setUp() {
 mvc = MockMvcBuilders.standaloneSetup(new HelloController()).build();
 }

 @Test
 public void getHello() throws Exception {
 mvc.perform(MockMvcRequestBuilders.get("/hello").accept(MediaType.APPLICATION_JSON))
 .andExpect(status().isOk())
 .andExpect(content().string(equalTo("Hello World")));
 }

}

这里我们所用到的核心是 MockMvc 工具，通过模拟 http 请求的提交并指定相关的期望返回来完成。对于文件上传接口，本质上还是 http 请求的处理，所以 MockMvc 依然逃不掉，就是上传内容发生了改变，我们只需要去找一下文件上传的模拟对象是哪个，就可以轻松完成这个任务。

@SpringBootTest(classes = Chapter43Application.class)
public class FileTest {

 @Autowired
 protected WebApplicationContext context;
 protected MockMvc mvc;

 @BeforeEach
 public void setUp() {
 mvc = MockMvcBuilders.webAppContextSetup(context).build();
 }

 @Test
 public void uploadFile() throws Exception {
 MockMultipartFile file = new MockMultipartFile(
 "file",
 "hello.txt",
 MediaType.TEXT_PLAIN_VALUE,
 "Hello, World!".getBytes()
 );

 final MvcResult result = mvc.perform(
 MockMvcRequestBuilders
 .multipart("/upload")
 .file(file))
 .andDo(print())
 .andExpect(status().isOk())
 .andReturn();
 }

}