SpringBoot新建Comment对象时如何填充Author关联引用？

核心原则 #

绝对不要从前端请求体中接收作者ID，这是典型的越权漏洞风险点：恶意用户只要修改请求参数里的authorId，就能冒充任意账号发评论，完全绕过身份校验。
你之前考虑的“前端传authorId再查库绑定”的方案完全不可取，本质是把身份可信校验的逻辑交给了不可信的前端传参。哪怕你额外加逻辑判断“传入的authorId必须和当前登录用户一致”也是多此一举——既然你已经能拿到当前登录用户的ID，完全没必要多收一个前端传的冗余参数再做比对，平白增加漏判的风险。

作者身份信息必须从服务端侧的可信上下文获取，和前端传参完全无关：

• 如果是传统Session登录模式：用户登录校验通过后，用户ID会存在服务端Session中，接口直接从Session读取即可
• 如果是JWT/Token类无状态登录模式：请求携带的合法Token解析后就能拿到当前登录用户ID，不需要前端额外传递
• 如果集成了Spring Security、Sa-Token这类权限框架，框架本身就提供了直接获取当前登录用户的方法，不需要手动处理解析逻辑

具体实现优化点 #

1. 首先修正你接口上的注解错误：@PostMapping("path=/comments")是错误写法，正确写法是@PostMapping("/comments")，原写法不会正确映射接口路径
2. 不要用Map<String,String>接收请求参数，定义专门的请求DTO，只开放需要前端传递的字段（评论内容content、所属帖子ID postId），从接口入参层面就拒收authorId，从根源避免参数污染风险
3. 绑定外键关联时不需要额外全量查询关联实体：如果你用的是JPA，直接调用getReferenceById()获取仅带ID的实体代理对象即可，不会触发真实数据库查询，能减少不必要的IO开销；如果是MyBatis/MyBatis-Plus，也可以直接给实体的ID字段赋值后关联，不需要查全量数据
4. 前端传递的postId必须做合法性校验：确认对应ID的帖子真实存在、且处于允许评论的状态，避免绑定到不存在的帖子上

参考实现代码 #

// 先定义请求DTO，只接收前端应该传的字段，可以直接加参数校验注解
@Data
public class CommentCreateRequest {
    @NotBlank(message = "评论内容不能为空")
    private String content;
    @NotNull(message = "所属帖子ID不能为空")
    private Long postId;
}

// Controller层代码
@PostMapping("/comments")
public void saveComment(@Valid @RequestBody CommentCreateRequest request,
                        // 如果你用Spring Security，直接用注解拿当前登录用户，替换成你自己的登录用户类即可
                        @AuthenticationPrincipal LoginUser currentUser) {
    // 拿ID代理对象，不触发全量查询，仅用于外键绑定
    Author author = authorService.getReferenceById(currentUser.getUserId());
    Post post = postService.getReferenceById(request.getPostId());

    commentService.saveComment(
            Comment.builder()
                    .content(request.getContent())
                    .author(author)
                    .post(post)
                    .build()
    );
}

如果你没有集成权限框架，自己实现登录拦截的话，可以在登录校验拦截器里把解析出的当前用户ID存入HttpServletRequest的Attribute中，Controller层直接注入HttpServletRequest读取即可；更优雅的方式是实现Spring的HandlerMethodArgumentResolver自定义参数解析器，直接把当前登录用户注入到方法参数中，不需要每个接口都写重复的读取逻辑。

内容的提问来源于stack exchange，提问作者dlo