【SpringMVC】拦截器&JSR303的使用

一、JSR303

1.1.什么是JSR303

JSR303是Java EE 6中的一项子规范，叫做Bean Validation。它为Bean验证定义了元数据模型和API。Hibernate Validator是Bean Validation的参考实现，提供了JSR 303规范中所有内置constraint的实现，除此之外还有一些附加的constraint。

Bean Validation是一种后端数据校验支持，如果一键f12修改前端代码成功绕过前端校验，那么就会存入非法数据，所以后端校验十分重要。

小贴士：

JSR303规范的名称中的“303”代表该规范的编号，它是Java Specification Requests（JSR）的第303号请求。JSR是Java平台标准的一部分，它们是由Sun Microsystems公司的技术专家和开发者社区共同制定的。每个JSR都有一个唯一的编号，以便于识别和管理。

1.2.为什么使用JSR303

前端不是已经校验过数据了吗？为什么我们还要做校验呢，直接用不就好了？草率了，假如说前端代码校验没写好又或者是对于会一点编程的人来说，直接绕过前端发请求（通过类似Postman这样的测试工具进行非常数据请求），把一些错误的参数传过来，你后端代码不就危险了嘛。

所以我们一般都是前端一套校验，后端在一套校验，这样安全性就能够大大得到提升了。

使用JSR303的优点：

首先，JSR303可以使得Java开发人员更加方便地在应用程序中使用数据校验机制，从而提高应用程序的健壮性和可靠性。其次，JSR303可以实现数据的实时校验，一旦数据不符合要求，就会立即返回错误信息，从而避免了一些不必要的错误处理。此外，JSR303还支持自定义验证规则，可以根据具体业务需求进行灵活的配置。

1.3.常用注解

注解说明@Null用于验证对象为null@NotNull用于对象不能为null，无法查检长度为0的字符串@NotBlank只用于String类型上，不能为null且trim()之后的size>0@NotEmpty用于集合类、String类不能为null,且size>0。但是带有空格的字符串校验不出来@Size用于对象（Array,Collection,Map,String）长度是否在给定的范围之内@Length用于String对象的大小必须在指定的范围内@Pattern用于String对象是否符合正则表达式的规则@Email用于String对象是否符合邮箱格式@Min用于Number和String对象是否大等于指定的值@Max用于Number和String对象是否小等于指定的值@AssertTrue用于Boolean对象是否为true@AssertFalse用于Boolean对象是否为false

1.4.@Validated与@Valid区别

@Validated和@Valid都是用于数据校验的注解，但是它们在使用上有一些区别。

@Validated：

Spring框架提供的注解，它可以用在类级别或方法级别上。当用在类级别时，表示该类中的所有方法都需要进行数据校验；当用在方法级别时，表示该方法需要进行数据校验。

@Valid：

JSR-303规范提供的注解，它只能用在方法参数上，表示需要对该参数进行数据校验。

另外，@Validated注解可以配合@RequestBody、@PathVariable、@RequestParam等注解一起使用，实现对请求体数据的自动校验；而@Valid注解只能配合Controller层的方法参数使用，不能直接对请求体数据进行校验。

总结：

@Validated：

• Spring提供的
• 支持分组校验
• 可以用在类型、方法和方法参数上。但是不能用在成员属性（字段）上
• 由于无法加在成员属性（字段）上，所以无法单独完成级联校验，需要配合@Valid

@Valid：

• JDK提供的（标准JSR-303规范）
• 不支持分组校验
• 可以用在方法、构造函数、方法参数和成员属性（字段）上
• 可以加在成员属性（字段）上，能够独自完成级联校验

1.5.JSR快速入门

1.5.1.导入依赖

<!-- JSR303 -->
<hibernate.validator.version>6.0.7.Final</hibernate.validator.version>

<!-- JSR303 -->
<dependency>
    <groupId>org.hibernate</groupId>
    <artifactId>hibernate-validator</artifactId>
    <version>${hibernate.validator.version}</version>
</dependency>

1.5.2.配置校验规则

这里以我上一篇博客的项目为例，对Student实体类进行校验配置。

public class Student {
    @NotBlank(message = "学生编号不能为空")
    private String sid;

    @NotBlank(message = "学生姓名不能为空")
    private String sname;

    @NotBlank(message = "学生年龄不能为空")
    private String sage;

    @NotBlank(message = "学生性别不能为空")
    private String ssex;

    public Student(String sid, String sname, String sage, String ssex) {
        this.sid = sid;
        this.sname = sname;
        this.sage = sage;
        this.ssex = ssex;
    }

    public Student() {
        super();
    }

    public String getSid() {
        return sid;
    }

    public void setSid(String sid) {
        this.sid = sid;
    }

    public String getSname() {
        return sname;
    }

    public void setSname(String sname) {
        this.sname = sname;
    }

    public String getSage() {
        return sage;
    }

    public void setSage(String sage) {
        this.sage = sage;
    }

    public String getSsex() {
        return ssex;
    }

    public void setSsex(String ssex) {
        this.ssex = ssex;
    }

    @Override
    public String toString() {
        return "Student{" +
                "sid='" + sid + '\'' +
                ", sname='" + sname + '\'' +
                ", sage='" + sage + '\'' +
                ", ssex='" + ssex + '\'' +
                '}';
    }
}

1.5.3.入门案例

在请求处理方法中，使用@Validated或@Valid注解要验证的对象，并根据BindingResult判断校验是否通过；

StudentController.java

 //    给数据添加服务端校验
    @RequestMapping("/valiAdd")
    public String valiAdd(@Validated Student student, BindingResult result, HttpServletRequest req){
//        如果服务端验证不通过，有错误
        if(result.hasErrors()){
//            服务端验证了实体类的多个属性，多个属性都没有验证通过
            List<FieldError> fieldErrors = result.getFieldErrors();
            Map<String,Object> map = new HashMap<>();
            for (FieldError fieldError : fieldErrors) {
//                将多个属性的验证失败信息输送到控制台
                System.out.println(fieldError.getField() + ":" + fieldError.getDefaultMessage());
                map.put(fieldError.getField(),fieldError.getDefaultMessage());
            }
            req.setAttribute("errorMap",map);
        }else {
            stubiz.insertSelective(student);
            return "redirect:list";
        }
        return "student/edit";
    }

edit.jsp

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>编辑界面</title>
</head>
<body>
<center>
编辑界面
<form action="${pageContext.request.contextPath }/${empty s ? 'student/valiAdd' : 'student/edit'}" method="post">
    sid:<input type="text" name="sid" value="${s.sid }"><span style="color: red">${errorMap.sid}</span><br>
    sname:<input type="text" name="sname" value="${s.sname }"><span style="color: red">${errorMap.sname}</span><br>
    sage:<input type="text" name="sage" value="${s.sage }"><span style="color: red">${errorMap.sage}</span><br>
    ssex:<input type="text" name="ssex" value="${s.ssex }"><span style="color: red">${errorMap.ssex}</span><br>
    <input type="submit">
</form>

</center>
</body>
</html>

效果演示：

这时候，我们不论是前端还是后端都做了双重保障，有效的防止了修改前端代码成功绕过前端校验等情况，加大了我们项目的安全性。

二、拦截器

2.1什么是拦截器

拦截器（Interceptor）是一种动态拦截方法调用的机制，在SpringMVC中动态拦截控制器方法的执行。在指定的方法调用前后执行预先设定的代码，例如在方法前后增加功能，阻止原始方法的执行，例如权限校验等。拦截器和过滤器在作用和执行顺序上也很相似，但是它们之间有一些区别。Filter属于Servlet技术，而Interceptor属于SpringMVC技术。Filter对所有访问进行增强，而Interceptor仅针对SpringMVC的访问进行增强 。

注意：拦截器（Interceptor）属于面向切面编程（AOP）的一种运用。由于拦截器是基于web框架的调用，因此可以使用Spring的依赖注入（DI）进行一些业务操作，同时一个拦截器实例在一个 controller生命周期之内可以多次调用。

2.2.拦截器与过滤器

什么是过滤器（Filter）

依赖于servlet容器。在实现上基于函数回调，可以对几乎所有请求进行过滤，但是缺点是一个过滤器实例只能在容器初始化时调用一次。使用过滤器的目的是用来做一些过滤操作，比如：在过滤器中修改字符编码；在过滤器中修改HttpServletRequest的一些参数，包括：过滤低俗文字、危险字符等。

拦截器与过滤器的区别

• 过滤器(filter)1.filter属于Servlet技术，只要是web工程都可以使用2.filter主要由于对所有请求过滤3.filter的执行时机早于Interceptor
• 拦截器(interceptor)1.interceptor属于SpringMVC技术，必须要有SpringMVC环境才可以使用2.interceptor通常由于对处理器Controller进行拦截3.interceptor只能拦截dispatcherServlet处理的请求

2.3.应用场景

• 登录验证：在用户登录前，可以使用拦截器检查用户的用户名和密码是否正确，如果不正确则跳转到登录页面。
• 权限控制：在用户访问某个接口时，可以使用拦截器检查用户是否具有访问该接口的权限，如果没有权限则拒绝访问。
• 数据压缩：在返回响应给客户端之前，可以使用拦截器对响应数据进行压缩，从而减少网络传输量和提高响应速度。
• 日志记录：在控制器方法被调用时，可以使用拦截器记录请求和响应的详细信息，方便后期分析和调试。
• 跨域请求处理：在前端发起跨域请求时，可以在后端使用拦截器处理跨域问题，例如添加Access-Control-Allow-Origin头等。

2.4.拦截器快速入门

2.4.1.入门案例

拦截器(interceptor)

public class OneInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        System.out.println("【OneInterceptor】：preHandle...");
        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        System.out.println("【OneInterceptor】：postHandle...");

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        System.out.println("【OneInterceptor】：afterCompletion...");
    }
}

** Spring-MVC.xml**

   <!--拦截器-->
    <mvc:interceptors>
        <bean class="com.csdn.xw.interceptor.OneInterceptor"></bean>
    </mvc:interceptors>

preHandle()的返回值为false就会拦截在此

** 注意**：拦截器会根据preHandle()方法返回值进行拦截判断，返回了一个

true

值。这个返回值表示该拦截器已经处理了当前的请求，并且可以继续向下传递请求。如果返回

false

，则表示该拦截器不处理当前请求，请求将被终止。

2.4.2.拦截器工作原理

• preHandle：用于对拦截到的请求进行预处理，方法接收布尔(true,false)类型的返回值，返回true：放行，false：不放行。> 执行时机：在处理器方法执行前执行参数说明request请求对象response响应对象handler拦截到的方法处理

• postHandle：用于对拦截到的请求进行后处理，可以在方法中对模型数据和视图进行修改> 执行时机：在处理器的方法执行后，视图渲染之前参数说明request请求对象response响应对象handler拦截到的处理器方法ModelAndView处理器方法返回的模型和视图对象，可以在方法中修改模型和视图

• afterCompletion：用于在整个流程完成之后进行最后的处理，如果请求流程中有异常，可以在方法中获取对象> 执行时机：视图渲染完成后(整个流程结束之后)参数说明request请求参数response响应对象handler拦截到的处理器方法ex异常对象

2.5.拦截器链

如果多个拦截器能够对相同的请求进行拦截，则多个拦截器会形成一个拦截器链，主要理解拦截器链中各个拦截器的执行顺序。拦截器链中多个拦截器的执行顺序，根拦截器的配置顺序有关，先配置的先执行。

拦截器(interceptor)

public class TwoInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        System.out.println("【TwoInterceptor】：preHandle...");

        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        System.out.println("【TwoInterceptor】：postHandle...");

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        System.out.println("【TwoInterceptor】：afterCompletion...");
    }
}

** Spring-MVC.xml**

  <!-- 多拦截器（拦截器链）-->
    <mvc:interceptors>
        <mvc:interceptor>
            <mvc:mapping path="/**"/>
            <bean class="com.csdn.xw.interceptor.OneInterceptor"/>
        </mvc:interceptor>
        <mvc:interceptor>
            <mvc:mapping path="/student/**"/>
            <bean class="com.csdn.xw.interceptor.TwoInterceptor"/>
        </mvc:interceptor>
    </mvc:interceptors>

这时候我们进行访问一下项目看看...

可以看到我们的两个拦截器都起到了作用。

2.6.用户登录权限案例

拦截器(interceptor)

public class LoginInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        System.out.println("【implements】：preHandle...");
        StringBuffer url = request.getRequestURL();
        if (url.indexOf("/login") > 0 || url.indexOf("/logout") > 0){
            //        如果是 登录、退出 中的一种
            return true;
        }
//            代表不是登录，也不是退出
//            除了登录、退出，其他操作都需要判断是否 session 登录成功过
        String uname = (String) request.getSession().getAttribute("uname");
        if (uname == null || "".equals(uname)){
             response.sendRedirect("/xwzyssm/page/login");
            return false;
        }
        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {

    }
}

** Spring-MVC.xml**

 <!--用户登录案例-->
    <mvc:interceptors>
        <bean class="com.csdn.xw.interceptor.LoginInterceptor"></bean>
    </mvc:interceptors>

LoginController.java

@Controller
public class LoginController {
    @RequestMapping("/login")
    public String login(HttpServletRequest req){
        String uname = req.getParameter("uname");
        HttpSession session = req.getSession();
        if ("zs".equals(uname)){
            session.setAttribute("uname",uname);
        }
        return "redirect:/student/list";
    }

    @RequestMapping("/logout")
    public String logout(HttpServletRequest req){
        req.getSession().invalidate();
        return "redirect:/student/list";
    }
}

login.jsp

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>登陆页面</title>
</head>
<body>
<h1>登陆页面</h1>
<form action="/login" method="post">
    用户名:<input name="uname">
    <input type="submit">
</form>
</body>
</html>

总结：如果用户发送URL中的后缀包含"/login"或"/logout"，则表示当前请求是登录或退出操作，直接返回true表示继续处理请求，后端进行判断“uname”是否为“zs”，如果不是zs则域对象不会保存，从而到拦截器判断域对象为空则会重定向到登良页面，如果不为空就执行后端返回的字符串到视图解析器解析跳转指定页面。

到这里我的分享就结束了，欢迎到评论区探讨交流！！

💖如果觉得有用的话还请点个赞吧 💖