Spring创建/更新记录时如何控制@RequestBody Entity的参数与验证

一、DTO模式（生产环境首选） #

这是Spring生态中处理接口参数控制的标准方案，通过定义与接口场景强绑定的数据传输对象（DTO），完全隔离数据库实体与接口参数，避免直接暴露实体字段的风险。

1. 在DTO中定义验证规则 #

实体类的@Valid相关验证注解无法直接复用在DTO上，但你可以在DTO中针对当前接口场景重新定义验证规则，或者通过Bean Validation的分组功能复用实体的验证逻辑（适合通用规则）。

示例代码：

// 普通用户场景DTO
public class UserDTO {
    @NotBlank(message = "姓名不能为空")
    private String name;

    @Min(value = 18, message = "年龄不能小于18")
    private Integer age;

    // DTO转实体的方法
    public User toUser() {
        User user = new User();
        user.setName(this.name);
        user.setAge(this.age);
        return user;
    }
}

// 管理员场景DTO
public class AdminUserDTO {
    @NotBlank(message = "姓名不能为空")
    private String name;

    @Min(value = 18, message = "年龄不能小于18")
    private Integer age;

    @Email(message = "邮箱格式不正确")
    private String email;

    @Valid // 验证嵌套的地址列表
    private List<AddressDTO> addresses;

    // DTO转实体的方法
    public User toUser() {
        User user = new User();
        user.setName(this.name);
        user.setAge(this.age);
        user.setEmail(this.email);
        // 转换地址DTO为实体
        user.setAddresses(addresses.stream().map(AddressDTO::toAddress).collect(Collectors.toList()));
        return user;
    }
}

// 地址DTO
public class AddressDTO {
    @NotBlank(message = "街道不能为空")
    private String street;
    @NotBlank(message = "城市不能为空")
    private String city;
    @NotBlank(message = "邮编不能为空")
    private String zip;

    public Address toAddress() {
        Address addr = new Address();
        addr.setStreet(this.street);
        addr.setCity(this.city);
        addr.setZip(this.zip);
        return addr;
    }
}

Controller中使用：

// 普通用户创建接口
@PostMapping("/users")
public ResponseEntity<User> createUser(@Valid @RequestBody UserDTO userDto) {
    User user = userDto.toUser();
    User savedUser = userService.save(user);
    return ResponseEntity.ok(savedUser);
}

// 管理员创建接口
@PostMapping("/admin/users")
public ResponseEntity<User> createAdminUser(@Valid @RequestBody AdminUserDTO adminDto) {
    User user = adminDto.toUser();
    User savedUser = userService.save(user);
    return ResponseEntity.ok(savedUser);
}

2. 为不同场景创建专属DTO #

针对普通用户、管理员等不同业务场景分别定义DTO是常规做法，虽然会增加类的数量，但能保证每个接口的参数范围完全可控，验证规则与场景强绑定，后期维护成本更低。

二、显式参数控制（不依赖DTO的方案） #

如果不想创建大量DTO，可以通过以下方式直接控制参数绑定逻辑：

1. 直接接收原始Map并手动处理 #

通过@RequestBody Map<String, Object>接收原始请求参数，手动提取允许的字段并完成验证、初始化实体，完全掌控整个流程：

@PostMapping("/users")
public ResponseEntity<User> createUser(@RequestBody Map<String, Object> requestMap) {
    // 显式提取允许的字段
    String name = (String) requestMap.get("name");
    Integer age = (Integer) requestMap.get("age");

    // 手动验证必填/规则
    if (name == null || name.isBlank()) {
        throw new IllegalArgumentException("姓名不能为空");
    }
    if (age == null || age < 18) {
        throw new IllegalArgumentException("年龄不能小于18");
    }

    User user = new User();
    user.setName(name);
    user.setAge(age);
    // 忽略所有未允许的参数
    User savedUser = userService.save(user);
    return ResponseEntity.ok(savedUser);
}

这种方式适合简单场景，但需要手动处理类型转换和验证，代码冗余度高。

2. 使用@JsonView控制字段范围 #

借助Jackson的@JsonView注解，在实体类上标记不同场景的字段，Controller中指定视图后，反序列化时只会处理对应视图的字段：

步骤1：定义视图接口

public class Views {
    // 普通用户视图
    public interface Basic {}
    // 管理员视图（继承Basic，包含其所有字段）
    public interface Admin extends Basic {}
}

步骤2：在实体类字段上标记视图

public class User {
    @JsonView(Views.Basic.class)
    @NotBlank
    private String name;

    @JsonView(Views.Basic.class)
    @Min(18)
    private Integer age;

    @JsonView(Views.Admin.class)
    @Email
    private String email;

    @JsonView(Views.Admin.class)
    @Valid
    private List<Address> addresses;

    // getter、setter方法
}

步骤3：Controller中指定视图

// 普通用户接口：仅处理Basic视图字段
@PostMapping("/users")
public ResponseEntity<User> createUser(@Valid @RequestBody @JsonView(Views.Basic.class) User user) {
    User savedUser = userService.save(user);
    return ResponseEntity.ok(savedUser);
}

// 管理员接口：处理Admin视图字段
@PostMapping("/admin/users")
public ResponseEntity<User> createAdminUser(@Valid @RequestBody @JsonView(Views.Admin.class) User user) {
    User savedUser = userService.save(user);
    return ResponseEntity.ok(savedUser);
}

这种方式无需创建DTO，但会让实体类被多个场景的注解污染，适合中等复杂度的场景。

三、总结 #

• DTO模式：生产环境首选，隔离性强、可维护性高，是Spring生态的最佳实践。
• @JsonView：适合不想创建DTO的场景，复用实体类，但会增加实体类复杂度。
• 手动处理Map：适合简单场景，完全可控，但代码冗余、验证繁琐。

内容的提问来源于stack exchange，提问作者chumakoff