SpringBoot如何进行参数校验

为安全考虑，我们开发经常会需要进行参数校验，这里简单记录下Springboot的方式。话不多说我们直接开始，首先创建一个实体类：

import lombok.Data;
import org.hibernate.validator.constraints.Length;
import org.hibernate.validator.constraints.Range;

import javax.validation.constraints.*;
import java.io.Serializable;
import java.util.List;

/**
 * @Description TODO PersonBean
 * @Author admin
 * @Date 2020/12/11
 */
@Data
public class PersonBean implements Serializable {

    private static final long serialVersionUID = -8374325179529529802L;

    /**
     * 年龄
     */
    @Range(min = 1, max = 99, message = "年龄必须在1~99之间")
    private Integer personAge;
    /**
     * 姓名
     */
    @Length(min = 5, max = 10, message = "用户名长度必须在5~10之间")
    private String personName;

    /**
     * 密码
     */
    @Length(min = 5, max = 10, message = "密码长度必须在5~10之间")
    @NotBlank(message = "密码不能为空")
    private String password;
    /**
     * 手机号
     */
    @Pattern(regexp = "^[1]([3][0-9]{1}|59|58|88|89)[0-9]{8}$", message = "手机号格式有误")
    @Length(min = 11, max = 11, message = "手机号必须为11位")
    private String personPhone;
    /**
     * 邮箱
     */
    @Email(message = "邮箱格式有误")
    private String personEmail;
    /**
     * 资产
     */
    @Pattern(regexp = "^(([1-9]{1}\\d*)|([0]{1}))(\\.(\\d){0,2})?$", message = "金额有误！必须是数字且最多保留两位小数")
    private String personMoney;
    /**
     * 照片
     */
    @Size(min = 1, max = 3, message = "集合长度的范围为1~3")
    @NotEmpty(message = "集合不能为空")
    private List<String> photoList;
}

我们可以直接在属性上加上各种注解，这里只列举了几个比较常用的，主要是展示如何使用，如有其他需要自行百度。

看下Controller的代码：

@RestController
@RequestMapping("person")
@Validated
public class PersonController {

    @GetMapping("get")
    public DataResult get(@Range(max = 10, message = "age最大值为10") @RequestParam("age") Integer age,
                          @NotBlank(message = "name不可以为空") @Length(min = 3, message = "name长度最少是3") @RequestParam("name") String name) {
        return DataResult.success();
    }

    @PostMapping("post")
    public DataResult post(@Validated @RequestBody PersonBean person) {
        return DataResult.success();
    }
}

这里说明下，如果是get请求单个参数校验，那么需要在Controller类上加上@Validated注解，之后直接在参数上加上对应的注解校验；如果是post请求对象校验，我们已经在实体类里面加上了注解校验，那么只需要在@RequestBody前面加上@Validated注解。

此外因为Springboot默认会验证所有不通过的结果集合，但是通常按顺序验证到第一个字段不符合验证要求时，就可以直接拒绝请求了，所以我们创建一个配置类配置校验模式：

import org.hibernate.validator.HibernateValidator;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import javax.validation.Validation;
import javax.validation.Validator;
import javax.validation.ValidatorFactory;

/**
 * @Description TODO 配置Springboot校验模式
 * @Author admin
 * @Date 2020/12/11
 */
@Configuration
public class ValidatorConfig {

    /**
     * validation默认会校验完所有字段，然后返回所有的验证失败信息。
     * 可以通过一些简单的配置，开启Fail Fast模式，只要有一个验证失败就立即返回
     */
    @Bean
    public Validator validator() {
        ValidatorFactory validatorFactory = Validation
                .byProvider(HibernateValidator.class)
                .configure()
                .failFast(true)
                .buildValidatorFactory();
        Validator validator = validatorFactory.getValidator();
        return validator;
    }

}

这里有个问题，如过注解校验失败是直接抛出异常的，我们如果想要返回自己的信息就需要再配置下全局异常监听：

/**
 * @Description TODO 全局异常管理
 * @Author admin
 * @Date 2020/12/11
 */

import com.lgy.demo.util.DataResult;
import org.springframework.validation.FieldError;
import org.springframework.web.bind.MethodArgumentNotValidException;
import org.springframework.web.bind.annotation.ExceptionHandler;
import org.springframework.web.bind.annotation.RestControllerAdvice;

import javax.validation.ConstraintViolation;
import javax.validation.ConstraintViolationException;
import java.util.*;

@RestControllerAdvice
public class GlobalExceptionHandler {

    @ExceptionHandler(value = MethodArgumentNotValidException.class)
    public DataResult validateException(MethodArgumentNotValidException e) {
        List<FieldError> fieldErrors = e.getBindingResult().getFieldErrors();
        List<String> list = new ArrayList<>();
        for (FieldError error : fieldErrors) {
            list.add(error.getField() + error.getDefaultMessage());
        }
        return DataResult.custom(500, "参数有误！", list.get(0));
    }

    @ExceptionHandler(value = ConstraintViolationException.class)
    public DataResult validateException(ConstraintViolationException e) {
        Set<ConstraintViolation<?>> violations = e.getConstraintViolations();
        List<String> list = new ArrayList<>();
        for (ConstraintViolation<?> item : violations) {
            list.add(item.getMessage());
        }
        return DataResult.custom(500, "参数有误！", list.get(0));
    }

}

因为上面我们配置了校验模式：只要有一个验证失败就立即返回信息，所以这里返回的都是list.get(0)；到这里已经可以了，我们postman分别get和post测试下：

get请求：

Post请求：

测试OK，然后我们再说一种情况：想要用一个实体类去接收多个controller的参数，但是不同controller所需要的参数校验又有些许不同，而你又不想为这点不同去建个新的类接收参数，这个时候我们需要------参数校验分组。

定义两个interface，实现javax.validation.groups.Default接口:

/**
 * @Description TODO Springboot参数校验分组One
 * @Author admin
 * @Date 2020/12/11
 */
public interface GroupOne extends Default {
}

/**
 * @Description TODO Springboot参数校验分组Two
 * @Author admin
 * @Date 2020/12/11
 */
public interface GroupTwo extends Default {
}

之后我们在实体类注解上再添加一个属性groups，如下：

然后Controller中的@Validated注解也要制定需要校验的分组：

@PostMapping("post")
public DataResult post(@Validated(GroupOne.class) @RequestBody PersonBean person) {
    return DataResult.success();
}

这里注意以下两种情况：
1.controller中的@Validated未指定分组，则只会校验实体类中属性未指定分组的值，而注解指定分组的值不会校验。
2.controller中的@Validated指定了我们自己定义GroupOne分组，则只会校验实体类中属性指定GroupOne分组的值和未指定任何分组的值，而注解指定GroupTwo的值不会校验。

最后即使springboot内置了各种注解去帮助我们校验参数，但是当面对复杂参数校验时，还是不能满足我们的要求，这时候我们就需要自定义校验注解。现在我们来定义一个校验身份证号的注解：

import javax.validation.Constraint;
import javax.validation.Payload;
import java.lang.annotation.*;

/**
 * @Description TODO 身份证号校验注解
 * @Author admin
 * @Date 2020/12/11
 */
@Documented
@Target({ElementType.PARAMETER, ElementType.FIELD})
@Retention(RetentionPolicy.RUNTIME)
@Constraint(validatedBy = IdCardValidate.class)
public @interface IdCard {

    String message() default "身份证号码不合法";

    Class<?>[] groups() default {};

    Class<? extends Payload>[] payload() default {};
}

注解类里面三个参数是固定必须的，直接复制即可，@Constraint(validatedBy = IdCardValidate.class)指定的是下面我们自己创建的校验逻辑实现类。

import javax.validation.ConstraintValidator;
import javax.validation.ConstraintValidatorContext;

/**
 * @Description TODO 身份证校验逻辑
 * @Author admin
 * @Date 2020/12/14
 */
public class IdCardValidate implements ConstraintValidator<IdCard, String> {

    @Override
    public void initialize(IdCard constraintAnnotation) {
    }

    @Override
    public boolean isValid(String value, ConstraintValidatorContext context) {
    	//这里只是举例，此处输入你的校验逻辑，成功返回true,否则返回false
        String id = "123456789";
        if (value.equals(id)) {
            return true;
        }
        return false;
    }
}

这样就OK了，直接在属性上使用即可。