Spring Data中动态移除PATCH请求字段，避免数据库字段被置空

方案1：JPA/Hibernate 层面拦截更新（无额外DB查询，推荐） #

利用Hibernate的预更新事件监听器，直接修改实体的状态快照，让ORM认为受保护字段没有变化，从而不生成对应字段的更新语句：

1. 实现自定义预更新监听器：

public class ProtectedFieldGuardListener implements PreUpdateEventListener {
    @Override
    public boolean onPreUpdate(PreUpdateEvent event) {
        Object targetEntity = event.getEntity();
        // 判断当前用户是否为管理员（替换成你的权限校验逻辑）
        if (!AuthHelper.currentUserIsAdmin()) {
            EntityPersister persister = event.getPersister();
            String[] propertyNames = persister.getPropertyNames();
            
            // 遍历字段，重置受保护字段的新旧状态为一致
            for (int i = 0; i < propertyNames.length; i++) {
                Field field = ReflectionUtils.findField(targetEntity.getClass(), propertyNames[i]);
                if (field != null && field.isAnnotationPresent(UpdateableByAdmin.class)) {
                    // 让Hibernate认为该字段未发生变化，跳过更新
                    event.getState()[i] = event.getOldState()[i];
                }
            }
        }
        return false; // 返回false，允许Hibernate继续执行后续流程
    }
}

2. 注册监听器到Spring Boot的JPA配置中：

@Bean
public LocalContainerEntityManagerFactoryBean entityManagerFactory(DataSource dataSource) {
    LocalContainerEntityManagerFactoryBean em = new LocalContainerEntityManagerFactoryBean();
    em.setDataSource(dataSource);
    em.setPackagesToScan("com.yourproject.entity");
    
    HibernateJpaVendorAdapter vendorAdapter = new HibernateJpaVendorAdapter();
    em.setJpaVendorAdapter(vendorAdapter);
    
    Map<String, Object> hibernateProps = new HashMap<>();
    hibernateProps.put("hibernate.ejb.event.pre-update", "com.yourproject.listener.ProtectedFieldGuardListener");
    em.setJpaPropertyMap(hibernateProps);
    
    return em;
}

这个方案的核心是复用Hibernate自带的实体旧状态快照，不需要额外查询数据库，就能让受保护字段完全不参与更新。

方案2：MongoDB 场景的动态更新构造 #

如果使用MongoDB，放弃直接调用save()，改用UpdateOperations动态构建只包含允许修改字段的更新语句：

1. 编写字段过滤工具方法：

public static UpdateDefinition buildPermissionedUpdate(Object updateDto, boolean isAdmin) {
    Update update = new Update();
    Field[] dtoFields = updateDto.getClass().getDeclaredFields();
    
    for (Field field : dtoFields) {
        field.setAccessible(true);
        try {
            Object fieldValue = field.get(updateDto);
            if (fieldValue != null) {
                // 管理员或非保护字段才加入更新
                if (isAdmin || !field.isAnnotationPresent(UpdateableByAdmin.class)) {
                    update.set(field.getName(), fieldValue);
                }
            }
        } catch (IllegalAccessException e) {
            // 按需处理异常
        }
    }
    return update;
}

2. 调用MongoTemplate执行更新：

boolean isAdmin = AuthHelper.currentUserIsAdmin();
UpdateDefinition update = buildPermissionedUpdate(yourUpdateDto, isAdmin);
mongoTemplate.updateFirst(Query.query(Criteria.where("id").is(targetId)), update, YourDocument.class);

这种方式直接从根源上排除受保护字段，生成的MongoDB更新语句里完全不会包含这些字段，彻底避免误修改。

方案3：DTO转实体时的权限过滤（适用于已有实体对象的场景） #

如果你是基于DTO转换实体的模式，可以在转换阶段跳过受保护字段的赋值，不需要额外查询数据库（前提是实体对象是从上下文获取而非全新创建）：

public static YourEntity dtoToEntity(YourUpdateDto dto, YourEntity targetEntity, boolean isAdmin) {
    String[] ignoreFields = isAdmin ? new String[0] : getProtectedFieldNames(YourEntity.class);
    BeanUtils.copyProperties(dto, targetEntity, ignoreFields);
    return targetEntity;
}

private static String[] getProtectedFieldNames(Class<?> entityClass) {
    List<String> protectedNames = new ArrayList<>();
    Field[] fields = entityClass.getDeclaredFields();
    for (Field field : fields) {
        if (field.isAnnotationPresent(UpdateableByAdmin.class)) {
            protectedNames.add(field.getName());
        }
    }
    return protectedNames.toArray(new String[0]);
}

内容的提问来源于stack exchange，提问作者Daniel Jeney