SpringMVC系列（五）之JSR303和拦截器

不念那年晚春

已于 2023-09-14 19:41:21 修改

阅读量398

点赞数 4

文章标签：状态模式 intellij-idea java java-ee

于 2023-09-11 19:47:14 首次发布

本文链接：https://blog.csdn.net/lijie1025/article/details/132814359

版权

一. JSR303

1.1 JSR303是什么

JSR是Java Specification Requests的缩写，意思是Java 规范提案。是指向JCP(Java Community Process)提出新增一个标准化技术规范的正式请求。任何人都可以提交JSR，以向Java平台增添新的API和服务。JSR已成为Java界的一个重要标准。 JSR-303 是JAVA EE 6 中的一项子规范，叫做Bean Validation，Hibernate Validator 是 Bean Validation 的参考实现 . Hibernate Validator 提供了 JSR 303 规范中所有内置 constraint（约束）的实现，除此之外还有一些附加的 constraint。

验证数据是一项常见任务，它发生在从表示层到持久层的所有应用程序层中。通常在每一层都实现相同的验证逻辑，这既耗时又容易出错。为了避免重复这些验证，开发人员经常将验证逻辑直接捆绑到域模型中，将域类与验证代码混在一起，而验证代码实际上是关于类本身的元数据。

1.2 为什么要使用JSR303

前端不是已经校验过数据了吗？为什么我们还要做校验呢，直接用不就好了？草率了，假如说前端代码校验没写好又或者是对于会一点编程的人来说，直接绕过前端发请求（通过类似Postman这样的测试工具进行非常数据请求），把一些错误的参数传过来，后端代码不就危险了嘛。

所以我们一般都是前端一套校验，后端在一套校验，这样安全性就能够大大得到提升了。

1.3 JSR303常用注解

注解	说明
@Null	用于验证对象为null
@NotNull	用于对象不能为null，无法查检长度为0的字符串
@NotBlank	只用于String类型上，不能为null且trim()之后的size>0
@NotEmpty	用于集合类、String类不能为null,且size>0。但是带有空格的字符串校验不出来
@Size	用于对象（Array,Collection,Map,String）长度是否在给定的范围之内
@Length	用于String对象的大小必须在指定的范围内
@Pattern	用于String对象是否符合正则表达式的规则
@Email	用于String对象是否符合邮箱格式
@Min	用于Number和String对象是否大等于指定的值
@Max	用于Number和String对象是否小等于指定的值
@AssertTrue	用于Boolean对象是否为true
@AssertFalse	用于Boolean对象是否为false

@Validated与@Valid区别

@Validated：

Spring提供的
支持分组校验
可以用在类型、方法和方法参数上。但是不能用在成员属性（字段）上
由于无法加在成员属性（字段）上，所以无法单独完成级联校验，需要配合@Valid

@Valid：

JDK提供的（标准JSR-303规范）
不支持分组校验
可以用在方法、构造函数、方法参数和成员属性（字段）上
可以加在成员属性（字段）上，能够独自完成级联校验

1.4 JSR303快速入门

1. 导入相关pom依赖

<!-- JSR303 -->
<hibernate.validator.version>6.0.7.Final</hibernate.validator.version>

<!-- JSR303 -->
<dependency>
    <groupId>org.hibernate</groupId>
    <artifactId>hibernate-validator</artifactId>
    <version>${hibernate.validator.version}</version>
</dependency>

2. 配置校验规则

package com.xissl.model;

import lombok.ToString;

import javax.validation.constraints.NotBlank;
import javax.validation.constraints.NotNull;

@ToString
public class clazz {
    @NotNull(message = "班级编号不能为空")
//    @Size(max = 100,min = 10,message = "大小必须在10至100之间")
    protected Integer cid;

    @NotBlank(message = "班级名不能为空")
    protected String cname;

    @NotBlank(message = "班级教员老师不能为空")
    protected String cteacher;

    private String pic="暂无图片";

    public clazz(Integer cid, String cname, String cteacher, String pic) {
        this.cid = cid;
        this.cname = cname;
        this.cteacher = cteacher;
        this.pic = pic;
    }

    public clazz() {
        super();
    }

    public Integer getCid() {
        return cid;
    }

    public void setCid(Integer cid) {
        this.cid = cid;
    }

    public String getCname() {
        return cname;
    }

    public void setCname(String cname) {
        this.cname = cname;
    }

    public String getCteacher() {
        return cteacher;
    }

    public void setCteacher(String cteacher) {
        this.cteacher = cteacher;
    }

    public String getPic() {
        return pic;
    }

    public void setPic(String pic) {
        this.pic = pic;
    }
}

3. 入门示例

在请求处理方法中，使用@Validated或@Valid注解要验证的对象，并根据BindingResult判断校验是否通过；

controller层

    //    给数据添加服务端校验
    @RequestMapping("/valiAdd")
    public String valiAdd(@Validated clazz clazz, BindingResult result, HttpServletRequest req){
//        如果服务端验证不通过，有错误
        if(result.hasErrors()){
//            服务端验证了实体类的多个属性，多个属性都没有验证通过
            List<FieldError> fieldErrors = result.getFieldErrors();
            Map<String,Object> map = new HashMap<>();
            for (FieldError fieldError : fieldErrors) {
//                将多个属性的验证失败信息输送到控制台
                System.out.println(fieldError.getField() + ":" + fieldError.getDefaultMessage());
                map.put(fieldError.getField(),fieldError.getDefaultMessage());
            }
            req.setAttribute("errorMap",map);
        }else {
            this.clazzBiz.insertSelective(clazz);
            return "redirect:clzlist";
        }
        return "clz/clzedit";
    }

前端代码：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>编辑界面</title>
</head>
<body>
<form action="${pageContext.request.contextPath }/${empty c ? 'clazz/valiAdd' : 'clazz/edit'}" method="post">
    班级编号:<input type="text" name="cid" value="${s.cid }"><span style="color: red">${errorMap.cid}</span><br>
    班级名称:<input type="text" name="cname" value="${s.cname }"><span style="color: red">${errorMap.cname}</span><br>
    带班教员:<input type="text" name="cteacher" value="${s.cteacher }"><span style="color: red">${errorMap.cteacher}</span><br>
    班级logo:<input type="text" name="pic" value="${s.pic }"><br>
    <input type="submit">
</form>
</body>
</html>

运行效果：

二. SpringMVC的拦截器

2.1 什么是拦截器

SpringMVC的处理器拦截器（Interceptor）类似于Servlet开发中的过滤器Filter，用于对处理器进行预处理和后处理，用户可以自己定义一些拦截器来实现特定的功能。处理器拦截器依赖于web框架，在实现上基于Java的反射机制，属于面向切面编程（AOP）的一种运用。由于拦截器是基于web框架的调用，因此可以使用Spring的依赖注入（DI）进行一些业务操作，同时一个拦截器实例在一个 controller生命周期之内可以多次调用。

2.2 拦截器与过滤器的区别

什么是过滤器（Filter）

依赖于servlet容器。在实现上基于函数回调，可以对几乎所有请求进行过滤，但是缺点是一个过滤器实例只能在容器初始化时调用一次。使用过滤器的目的是用来做一些过滤操作，比如：在过滤器中修改字符编码；在过滤器中修改HttpServletRequest的一些参数，包括：过滤低俗文字、危险字符等。

拦截器与过滤器的区别

过滤器(filter)

1.filter属于Servlet技术，只要是web工程都可以使用

2.filter主要由于对所有请求过滤

3.filter的执行时机早于Interceptor
拦截器(interceptor)

1.interceptor属于SpringMVC技术，必须要有SpringMVC环境才可以使用

2.interceptor通常由于对处理器Controller进行拦截

3.interceptor只能拦截dispatcherServlet处理的请求

应用场景：日志处理、登录权限验证等

2.3 拦截器工作原理

preHandle：用于对拦截到的请求进行预处理，方法接收布尔(true,false)类型的返回值，返回true：放行，false：不放行。

执行时机：在处理器方法执行前执行

方法参数

参数说明
request 请求对象
response 响应对象
handler 拦截到的方法处理
postHandle：用于对拦截到的请求进行后处理，可以在方法中对模型数据和视图进行修改

执行时机：在处理器的方法执行后，视图渲染之前

方法参数

参数说明
request 请求对象
response 响应对象
handler 拦截到的处理器方法
ModelAndView 处理器方法返回的模型和视图对象，可以在方法中修改模型和视图
afterCompletion：用于在整个流程完成之后进行最后的处理，如果请求流程中有异常，可以在方法中获取对象

执行时机：视图渲染完成后(整个流程结束之后)

方法参数

参数说明
request 请求参数
response 响应对象
handler 拦截到的处理器方法
ex 异常对象

参数	说明
request	请求对象
response	响应对象
handler	拦截到的方法处理

参数	说明
request	请求对象
response	响应对象
handler	拦截到的处理器方法
ModelAndView	处理器方法返回的模型和视图对象，可以在方法中修改模型和视图

参数	说明
request	请求参数
response	响应对象
handler	拦截到的处理器方法
ex	异常对象

2.4 入门示例

在 Spring MVC 框架中定义一个拦截器需要对拦截器进行定义和配置，主要有以下 2 种方式。

通过实现 HandlerInterceptor 接口或继承 HandlerInterceptor 接口的实现类（例如 HandlerInterceptorAdapter）来定义；
通过实现 WebRequestInterceptor 接口或继承 WebRequestInterceptor 接口的实现类来定义。

这里以实现 HandlerInterceptor 接口的定义方式为例

1. 创建拦截器

package com.xissl.interceptor;

import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class OneInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        System.out.println("【OneInterceptor】：preHandle...");

        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        System.out.println("【OneInterceptor】：postHandle...");

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        System.out.println("【OneInterceptor】：afterCompletion...");
    }
}

这里的preHandle()方法返回值为true时，则表示未拦截，

返回值为false时，则表示拦截

2. 配置拦截器

<!--    配置拦截器-->
    <mvc:interceptors>
        <bean class="com.xissl.interceptor.OneInterceptor"></bean>
    </mvc:interceptors>

未拦截：

已拦截：

2.5 拦截器链

当配置多个拦截器时，形成拦截器链
拦截器链的运行顺序参照拦截器添加顺序为准
当拦截器中出现对原始处理器的拦截，后面的拦截器均终止运行
当拦截器运行中断，仅运行配置在前面的拦截器的afterCompletion操作

创建拦截器

package com.xissl.interceptor;

import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class TwoInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        System.out.println("【TwoInterceptor】：preHandle...");

        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        System.out.println("【TwoInterceptor】：postHandle...");

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        System.out.println("【TwoInterceptor】：afterCompletion...");
    }
}

配置拦截器

    <!-- 多拦截器（拦截器链）-->
    <mvc:interceptors>
        <mvc:interceptor>
            <mvc:mapping path="/**"/>
            <bean class="com.xissl.interceptor.OneInterceptor"/>
        </mvc:interceptor>
        <mvc:interceptor>
            <mvc:mapping path="/clazz/**"/>
            <bean class="com.xissl.interceptor.TwoInterceptor"/>
        </mvc:interceptor>
    </mvc:interceptors>

<mvc:interceptors>：该元素用于配置一组拦截器。

<bean>：该元素是 <mvc:interceptors> 的子元素，用于定义全局拦截器，即拦截所有的请求。

<mvc:interceptor>：该元素用于定义指定路径的拦截器。

<mvc:mapping>：该元素是 <mvc:interceptor> 的子元素，用于配置拦截器作用的路径，该路径在其属性 path 中定义。path 的属性值为/**时，表示拦截所有路径，值为/clazz/**

时，表示拦截所有以/clazz/**结尾的路径。如果在请求路径中包含不需要拦截的内容，可以通过 <mvc:exclude-mapping> 子元素进行配置。

需要注意的是，<mvc:interceptor> 元素的子元素必须按照 <mvc:mapping.../>、<mvc:exclude-mapping.../>、<bean.../> 的顺序配置。

2.6 用户登录权限控制

登录拦截器

package com.xissl.interceptor;

import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class LoginInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        System.out.println("【implements】：preHandle...");
        StringBuffer url = request.getRequestURL();
        if (url.indexOf("/login") > 0 || url.indexOf("/logout") > 0){
            //        如果是 登录、退出 中的一种
            return true;
        }
//            代表不是登录，也不是退出
//            除了登录、退出，其他操作都需要判断是否 session 登录成功过
        String uname = (String) request.getSession().getAttribute("uname");
        if (uname == null || "".equals(uname)){
            response.sendRedirect("/page/login");
            return false;
        }
        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {

    }
}

配置拦截器

    <mvc:interceptors>
        <bean class="com.xissl.interceptor.LoginInterceptor"></bean>
    </mvc:interceptors>

controller层

package com.xissl.web;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpSession;

/**
 * @author xissl
 * @create 2023-09-11 19:19
 */
@Controller
public class LoginController {
    @RequestMapping("/login")
    public String login(HttpServletRequest req){
        String uname = req.getParameter("uname");
        HttpSession session = req.getSession();
        if ("zs".equals(uname)){
            session.setAttribute("uname",uname);
        }
        return "redirect:/clz/clzlist";
    }

    @RequestMapping("/logout")
    public String logout(HttpServletRequest req){
        req.getSession().invalidate();
        return "redirect:/clz/clzlist";
    }
}

前端代码：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>登录</title>
</head>
<body>
<form action="/login" method="post">
    用户名：<input name="uname">
    <input type="submit">

</form>
</body>
</html>