Spring Boot REST接口中如何为不同角色复用同一DTO？

我有一个Spring Boot RESTful API的PUT端点，可供不同角色（ADMIN、MODERATOR等）访问。如何为所有角色复用同一个DTO CreateOrUpdateRequest，同时根据用户角色应用不同的字段验证和序列化规则：

public class CreateOrUpdateRequest {
    @NotNull
    private String field1;

    @NotEmpty
    private String field2;

    @NotNull
    @ValidValueOfEnum(enumClass = MyEnum.class)
    private String field3;

}

例如，我希望ADMIN角色可以更新所有字段，而MODERATOR仅能更新field3。

1. 是否需要为每个角色单独创建DTO？如果是，如何在同一路由和服务方法中使用多个DTO？
2. 我尝试过@JsonView方案，但未序列化的字段会变为null。我的MapStruct映射器会将null字段映射为null，进而自动清空/删除字段：

@Mapper(componentModel = "spring")
public abstract class RequestMapper {
    @BeanMapping(nullValuePropertyMappingStrategy = NullValuePropertyMappingStrategy.SET_TO_NULL, nullValueCheckStrategy = NullValueCheckStrategy.ALWAYS)
    public abstract void update(CreateOrUpdateRequest request, @MappingTarget MyEntity entity);
}

@JsonView是否是正确的方案，或者Spring中有更好的处理方式？

解决方案 #

问题1：是否需要为每个角色单独创建DTO？ #

不需要强制为每个角色单独建DTO，但若角色间字段规则差异极大，单独创建会更清晰。如果要复用同一路由和服务方法，可按以下方式处理：

方案A：分组验证复用同一个DTO

通过Spring的@Validated结合分组验证，给不同角色定义验证分组，在DTO注解上指定分组，控制器里根据角色选择对应分组验证：

1. 定义分组接口：

public interface AdminGroup {}
public interface ModeratorGroup {}

2. 修改DTO，给验证注解指定分组：

public class CreateOrUpdateRequest {
    @NotNull(groups = AdminGroup.class)
    private String field1;

    @NotEmpty(groups = AdminGroup.class)
    private String field2;

    @NotNull(groups = {AdminGroup.class, ModeratorGroup.class})
    @ValidValueOfEnum(enumClass = MyEnum.class, groups = {AdminGroup.class, ModeratorGroup.class})
    private String field3;
}

3. 控制器中根据角色处理：

@PutMapping("/resource/{id}")
public ResponseEntity<Void> updateResource(@PathVariable Long id, 
                                            @RequestBody CreateOrUpdateRequest request) {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    // 根据角色选择验证分组
    if (auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_ADMIN"))) {
        // 执行ADMIN分组验证
        ValidatorFactory factory = Validation.buildDefaultValidatorFactory();
        Validator validator = factory.getValidator();
        Set<ConstraintViolation<CreateOrUpdateRequest>> violations = validator.validate(request, AdminGroup.class);
        if (!violations.isEmpty()) {
            throw new ConstraintViolationException(violations);
        }
        // 全字段更新
        requestMapper.update(request, entity);
    } else if (auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_MODERATOR"))) {
        // 执行MODERATOR分组验证
        ValidatorFactory factory = Validation.buildDefaultValidatorFactory();
        Validator validator = factory.getValidator();
        Set<ConstraintViolation<CreateOrUpdateRequest>> violations = validator.validate(request, ModeratorGroup.class);
        if (!violations.isEmpty()) {
            throw new ConstraintViolationException(violations);
        }
        // 仅更新field3
        entity.setField3(request.getField3());
    }
    // 保存实体等操作
    return ResponseEntity.ok().build();
}

方案B：单独创建DTO复用路由

如果选择为每个角色建独立DTO，可在控制器中手动解析请求体，根据角色选择对应DTO：

@PutMapping("/resource/{id}")
public ResponseEntity<Void> updateResource(@PathVariable Long id, 
                                            @RequestBody String requestBody) throws JsonProcessingException {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    ObjectMapper objectMapper = new ObjectMapper();
    
    if (auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_ADMIN"))) {
        AdminUpdateRequest adminRequest = objectMapper.readValue(requestBody, AdminUpdateRequest.class);
        // 验证adminRequest并处理全字段更新
    } else if (auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_MODERATOR"))) {
        ModeratorUpdateRequest modRequest = objectMapper.readValue(requestBody, ModeratorUpdateRequest.class);
        // 验证modRequest并仅更新field3
    }
    // 后续操作
    return ResponseEntity.ok().build();
}

这种方式需要手动处理JSON反序列化，不如分组验证简洁。

问题2：@JsonView是否是正确方案？ #

@JsonView可以控制字段的序列化/反序列化，但它的核心问题是未被视图包含的字段会被设为null，结合你当前MapStructSET_TO_NULL的配置，会导致实体字段被意外清空。

如果要继续用@JsonView，可以调整映射策略：

1. 修改MapStruct的nullValuePropertyMappingStrategy为IGNORE，这样null字段不会覆盖实体已有值：

@Mapper(componentModel = "spring")
public abstract class RequestMapper {
    @BeanMapping(nullValuePropertyMappingStrategy = NullValuePropertyMappingStrategy.IGNORE, nullValueCheckStrategy = NullValueCheckStrategy.ALWAYS)
    public abstract void update(CreateOrUpdateRequest request, @MappingTarget MyEntity entity);
}

但这种方式会导致ADMIN无法主动将字段设为null，需要额外逻辑兼容。

2. 或者在映射前根据角色清理DTO：比如针对MODERATOR角色，只保留field3，将其他字段设为null后再映射。

除了@JsonView，更推荐的方案是分组验证+服务层字段过滤：结合前面的分组验证逻辑，在服务层根据角色提取允许修改的字段进行更新，既复用了DTO，又能避免null值覆盖实体的问题。另外也可以考虑用@PatchMapping做语义化的部分更新，不过字段多的时候不够优雅；或者自定义参数解析器，根据角色自动过滤请求体字段，这种方式更灵活但需要额外编码。

内容的提问来源于stack exchange，提问作者Jedupont