Spring Security中@Valid校验无报错未生效问题排查求助

1. 依赖冲突是核心问题 #

Spring Security 6（对应Spring Boot 3+）基于Jakarta EE规范，你手动引入的javax.validation:validation-api是Java EE时代的旧校验API，和Spring Boot 3自带的jakarta.validation体系完全冲突，直接导致校验逻辑无法触发。

spring-boot-starter-validation在Spring Boot 3中已经自动引入了jakarta.validation:jakarta.validation-api及对应的实现（如Hibernate Validator），完全不需要额外添加javax.validation的依赖。

修正后的pom.xml依赖 #

<dependency>
  <groupId>org.springframework.boot</groupId>
  <artifactId>spring-boot-starter-validation</artifactId>
</dependency>
<!-- 移除下面这个冲突的javax依赖 -->
<!-- <dependency>
  <groupId>javax.validation</groupId>
  <artifactId>validation-api</artifactId>
  <version>2.0.1.Final</version>
</dependency> -->

2. 校验注解包一致性检查 #

确保所有校验注解（@NotBlank、@Email、@Size、@Valid）都来自jakarta.validation.constraints包，而非旧的javax.validation.constraints包：

// 正确导入示例
import jakarta.validation.constraints.Email;
import jakarta.validation.constraints.NotBlank;
import jakarta.validation.constraints.Size;
import jakarta.validation.Valid;

3. 控制器@Validated注解优化 #

如果仅对@RequestBody做校验，控制器上的@Validated不是必须的（@Valid已足够触发RequestBody校验）；若需要方法参数（如@RequestParam）的校验，则保留该注解。

4. 异常处理器生效补充 #

若要全局处理校验异常，需确保异常处理器被Spring扫描到——将其放入标注@RestControllerAdvice的类中，或直接放在当前控制器类内（仅处理当前控制器异常）。示例全局异常处理器：

@RestControllerAdvice
public class GlobalValidationExceptionHandler {
    @ExceptionHandler(MethodArgumentNotValidException.class)
    public ResponseEntity<Map<String, String>> handleValidationExceptions(MethodArgumentNotValidException ex) {
        Map<String, String> errors = new HashMap<>();
        ex.getBindingResult().getFieldErrors().forEach(error -> 
            errors.put(error.getField(), error.getDefaultMessage())
        );
        return ResponseEntity.badRequest().body(errors);
    }
}

内容的提问来源于stack exchange，提问作者Reem