Spring Boot如何安全获取关联实体的精简信息？

针对你遇到的问题，这里提供几种无需手动赋值、避免数据库报错且安全的方案：

方案1：使用JPA接口投影（Interface Projection） #

通过定义投影接口，让JPA自动查询并返回仅需的字段，无需手动构造对象。

步骤1：定义客户字段的投影接口 #

public interface CustomerShortProjection {
    Long getId();
    String getName();
    String getCode();
}

步骤2：定义包含客户投影的员工投影接口 #

public interface EmployeeWithCustomerProjection {
    // 员工自身字段
    Long getId();
    String getName();
    String getPhone();
    String getEmail();
    
    // 关联的客户投影
    CustomerShortProjection getCustomer();
}

步骤3：在Repository中使用投影查询 #

直接在EmployeeRepository中定义查询方法，JPA会自动关联并返回投影结果：

public interface EmployeeRepository extends JpaRepository<Employee, Long> {
    // 查询所有员工及对应精简客户信息
    List<EmployeeWithCustomerProjection> findAll();
    
    // 根据ID查询单个员工及精简客户信息
    EmployeeWithCustomerProjection findById(Long id);
}

这种方式无需手动赋值，查询结果仅包含指定字段，避免返回敏感信息。

方案2：构造器DTO查询 #

通过自定义JPQL查询，直接构造包含精简客户信息的DTO对象。

步骤1：创建精简客户DTO #

public class CustomerShortDTO {
    private Long id;
    private String name;
    private String code;

    // 必须提供对应参数的构造器
    public CustomerShortDTO(Long id, String name, String code) {
        this.id = id;
        this.name = name;
        this.code = code;
    }

    // getter方法
    public Long getId() { return id; }
    public String getName() { return name; }
    public String getCode() { return code; }
}

步骤2：创建包含客户DTO的员工DTO #

public class EmployeeDTO {
    private Long id;
    private String name;
    private String phone;
    private String email;
    private CustomerShortDTO customer;

    public EmployeeDTO(Long id, String name, String phone, String email, CustomerShortDTO customer) {
        this.id = id;
        this.name = name;
        this.phone = phone;
        this.email = email;
        this.customer = customer;
    }

    // getter方法
}

步骤3：在Repository中编写构造器查询 #

public interface EmployeeRepository extends JpaRepository<Employee, Long> {
    @Query("SELECT new com.yourpackage.dto.EmployeeDTO(e.id, e.name, e.phone, e.email, " +
           "new com.yourpackage.dto.CustomerShortDTO(c.id, c.name, c.code)) " +
           "FROM Employee e JOIN e.customer c")
    List<EmployeeDTO> findAllWithCustomerShort();
}

该方案直接从数据库查询出所需字段并构造DTO，避免了全量实体的加载，性能和安全性都更优。

方案3：实体关联配合Jackson视图过滤 #

如果需要保持JPA的@ManyToOne关联，但返回前端时过滤敏感字段，可以使用Jackson的视图注解。

步骤1：定义视图类 #

public class Views {
    // 公开视图：仅返回允许的字段
    public static class Public {}
    // 扩展视图：返回更多字段（可选）
    public static class Extended extends Public {}
}

步骤2：在Customer实体中标记字段所属视图 #

@Entity
public class Customer {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    @JsonView(Views.Public.class)
    private Long id;

    @JsonView(Views.Public.class)
    private String name;

    @JsonView(Views.Public.class)
    private String code;

    // 敏感字段标记为扩展视图，公开接口不返回
    @JsonView(Views.Extended.class)
    private String phone;

    @JsonView(Views.Extended.class)
    private String email;

    // getter、setter方法
}

步骤3：在Employee实体中关联Customer并指定视图 #

@Entity
public class Employee {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    @ManyToOne
    @JoinColumn(name = "customer_id")
    @JsonView(Views.Public.class)
    private Customer customer;

    private String name;
    private String phone;
    private String email;

    // getter、setter方法
}

步骤4：在Controller中指定返回视图 #

@GetMapping("/employees")
@JsonView(Views.Public.class)
public List<Employee> getEmployees() {
    return employeeRepository.findAll();
}

这样返回的JSON中，Customer仅包含id、name、code三个字段，敏感的phone和email不会被序列化返回。

内容的提问来源于stack exchange，提问作者Wizard