Spring请求Bean校验失败时如何隐藏或掩码被拒绝值？

一、先排查@ControllerAdvice未生效的原因 #

你之前用@ControllerAdvice捕获MethodArgumentNotValidException没生效，大概率是这几个问题：

• 该类不在Spring的组件扫描路径内，确认类上有@Component或@ControllerAdvice本身已被启动类的@SpringBootApplication扫描覆盖
• 存在其他优先级更高的异常处理器（比如带@Order注解的其他@ControllerAdvice），抢占了异常处理权
• 异常抛出层级不对：请求先被Gateway、Filter拦截，未传到Controller层

二、隐藏/掩码被拒绝值的可行方案 #

1. 自定义校验消息，移除默认的{rejectedValue}变量 #

Spring Validation默认错误消息模板包含{rejectedValue}，会打印被拒绝的值。可以直接替换这些模板：

• 在src/main/resources/ValidationMessages.properties中自定义消息：

  # 替换@NotBlank默认消息，去掉{rejectedValue}
  javax.validation.constraints.NotBlank.message=字段{field}不能为空
  # 替换@Pattern默认消息
  javax.validation.constraints.Pattern.message=字段{field}格式不符合要求
  # 其他校验注解同理，移除{rejectedValue}变量
  

• 也可以在注解上直接指定不含拒绝值的消息：

  public class Customer {
      @NotBlank(message = "姓名不能为空")
      private String firstName;
      
      @Pattern(regexp = "^[a-zA-Z0-9]+$", message = "用户名格式非法")
      private String username;
  }
  

2. 确保全局异常处理器生效，手动过滤拒绝值 #

重新编写@ControllerAdvice，明确处理MethodArgumentNotValidException，只提取字段名和错误消息，完全忽略rejectedValue：

@ControllerAdvice
public class GlobalValidationExceptionHandler {

    private static final Logger logger = LoggerFactory.getLogger(GlobalValidationExceptionHandler.class);

    @ExceptionHandler(MethodArgumentNotValidException.class)
    @ResponseStatus(HttpStatus.BAD_REQUEST)
    @ResponseBody
    public Map<String, String> handleValidationExceptions(MethodArgumentNotValidException ex) {
        Map<String, String> errors = new HashMap<>();
        ex.getBindingResult().getFieldErrors().forEach(error -> {
            String fieldName = error.getField();
            String errorMessage = error.getDefaultMessage();
            errors.put(fieldName, errorMessage);
            // 日志仅记录字段和错误信息，不打印被拒绝的值
            logger.warn("字段{}校验失败：{}", fieldName, errorMessage);
        });
        return errors;
    }
}

注意：Spring Boot项目要确保此类在@SpringBootApplication的扫描范围内。

3. 自定义ErrorAttributes，统一控制错误输出 #

如果框架底层日志仍会打印拒绝值，可通过自定义ErrorAttributes屏蔽：

@Component
public class CustomErrorAttributes extends DefaultErrorAttributes {

    @Override
    public Map<String, Object> getErrorAttributes(WebRequest webRequest, ErrorAttributeOptions options) {
        Map<String, Object> errorAttributes = super.getErrorAttributes(webRequest, options);
        // 移除错误信息中的rejectedValue字段
        Object errors = errorAttributes.get("errors");
        if (errors instanceof List) {
            ((List<?>) errors).forEach(item -> {
                if (item instanceof Map) {
                    ((Map<?, ?>) item).remove("rejectedValue");
                }
            });
        }
        return errorAttributes;
    }
}

此方式会统一修改所有错误响应和日志中的错误信息，彻底移除rejectedValue字段。

4. 日志层面掩码处理 #

若代码方案未覆盖框架底层日志，可在日志框架（Logback/Log4j2）中配置掩码规则：
比如Logback的logback-spring.xml配置示例：

<appender name="CONSOLE" class="ch.qos.logback.core.ConsoleAppender">
    <encoder>
        <pattern>%d{HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %replace(%msg){'rejected value \[(.*?)\]', 'rejected value [***]'}%n</pattern>
    </encoder>
</appender>

该正则会把日志中所有rejected value [xxx]替换为rejected value [***]，实现掩码效果。

内容的提问来源于stack exchange，提问作者developer