Spring Boot XML Jackson验证：不应忽略未知属性的问题排查

原因 #

Spring Boot默认使用的XML消息解析器（如Jackson XML、JAXB）默认配置为忽略未知XML元素。当请求中包含DTO类未定义的节点（比如示例中的<trash>）时，解析器只会跳过该节点，不会抛出异常，因此服务器能正常接收请求。

解决方案 #

针对Jackson XML解析器（Spring Boot 2.x+常用） #

局部生效（仅针对单个DTO）

在Data类上添加@JsonIgnoreProperties(ignoreUnknown = false)注解，强制解析器遇到未知属性时抛出异常：

import com.fasterxml.jackson.annotation.JsonIgnoreProperties

@JsonIgnoreProperties(ignoreUnknown = false)
data class Data(
    val item: String
)

全局生效（所有DTO统一规则）

创建配置类，自定义XmlMapper并开启未知属性报错：

import com.fasterxml.jackson.dataformat.xml.XmlMapper
import com.fasterxml.jackson.databind.DeserializationFeature
import org.springframework.context.annotation.Bean
import org.springframework.context.annotation.Configuration

@Configuration
class XmlParsingConfig {
    @Bean
    fun xmlMapper(): XmlMapper {
        return XmlMapper().apply {
            enable(DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES)
        }
    }
}

或者通过配置消息转换器实现：

import org.springframework.context.annotation.Configuration
import org.springframework.http.converter.HttpMessageConverter
import org.springframework.http.converter.xml.MappingJackson2XmlHttpMessageConverter
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer

@Configuration
class WebMvcConfig : WebMvcConfigurer {
    override fun configureMessageConverters(converters: MutableList<HttpMessageConverter<*>>) {
        val xmlConverter = MappingJackson2XmlHttpMessageConverter()
        val xmlMapper = xmlConverter.objectMapper as com.fasterxml.jackson.dataformat.xml.XmlMapper
        xmlMapper.enable(com.fasterxml.jackson.databind.DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES)
        converters.add(xmlConverter)
    }
}

针对JAXB解析器（若项目使用JAXB处理XML） #

局部配置DTO

为Data类添加JAXB注解，并确保解析时验证未知属性：

import javax.xml.bind.annotation.XmlAccessorType
import javax.xml.bind.annotation.XmlRootElement
import javax.xml.bind.annotation.XmlAccessType

@XmlRootElement(name = "items")
@XmlAccessorType(XmlAccessType.FIELD)
data class Data(
    val item: String
)

开启JAXB验证

通过配置消息转换器，设置验证事件处理器，遇到未知属性时抛出异常：

import org.springframework.context.annotation.Configuration
import org.springframework.http.converter.HttpMessageConverter
import org.springframework.http.converter.xml.Jaxb2RootElementHttpMessageConverter
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer
import javax.xml.bind.ValidationEvent
import javax.xml.bind.ValidationEventHandler

@Configuration
class WebMvcConfig : WebMvcConfigurer {
    override fun configureMessageConverters(converters: MutableList<HttpMessageConverter<*>>) {
        val jaxbConverter = Jaxb2RootElementHttpMessageConverter()
        jaxbConverter.setValidationEventHandler(ValidationEventHandler { event ->
            if (event.severity >= ValidationEvent.ERROR) {
                throw RuntimeException("XML解析错误：${event.message}")
            }
            false
        })
        converters.add(jaxbConverter)
    }
}

额外方案：XML Schema验证 #

定义对应的XSD约束文件，让Spring Boot根据XSD验证请求XML的结构，这是最严格的方式。例如创建data.xsd：

<?xml version="1.0" encoding="UTF-8"?>
<xs:schema xmlns:xs="http://www.w3.org/2001/XMLSchema">
    <xs:element name="items">
        <xs:complexType>
            <xs:sequence>
                <xs:element name="item" type="xs:string"/>
            </xs:sequence>
        </xs:complexType>
    </xs:element>
</xs:schema>

然后在配置类中加载XSD并设置到解析器，确保请求XML完全符合结构要求。

内容的提问来源于stack exchange，提问作者Jakob