如何防止数据库字段注入？Spring Boot私密字段非法赋值解决方法

首先，你遇到的这个问题是Spring MVC自动参数绑定的“双刃剑”——它帮我们快速把请求参数绑定到实体类，但也可能让恶意提交的字段意外填充到私密属性里。下面给你几个实用的解决方案，按推荐程度排序：

1. 使用DTO（数据传输对象）——最规范的方案 #

这是业界最推崇的做法，核心逻辑是把前端交互模型和数据库实体模型彻底分开：

• 创建一个专门用于注册的SignUpDTO类，只保留允许用户输入的字段（比如用户名、密码、邮箱等，绝对不包含foo这类私密字段）：

@Data
public class SignUpDTO {
    // 只保留用户可输入的字段
    private String username;
    private String password;
    // ...其他允许用户填写的字段
}

• 修改控制器的方法参数，用SignUpDTO替代User实体：

@PostMapping(UserRouteRegistry.SIGN_UP)
public String signUp(
    @ModelAttribute("signUpDTO") @Validated SignUpDTO signUpDTO,
    BindingResult result, WebRequest request, RedirectAttributes redirectAttributes
) {
    // ...校验逻辑...
    // 在服务层把DTO转成User实体
    User user = User.builder()
        .username(signUpDTO.getUsername())
        .password(signUpDTO.getPassword())
        // 设置其他必要字段，私密字段foo可以在这里设默认值或直接忽略
        .created(new Date())
        .build();
    userRegistered = userService.createUser(user);
    // ...后续逻辑...
}

这样一来，不管前端提交什么额外字段（比如foo），都不会被绑定到SignUpDTO上，从根源上杜绝了恶意填充的可能，同时也让代码职责更清晰——DTO负责接收前端输入，实体负责映射数据库。

2. 在控制器中禁用特定字段绑定 #

如果不想额外创建DTO，可以在控制器里通过@InitBinder指定不允许绑定的字段：

@Controller
@RequestMapping(UserRouteRegistry.FIRST_LEVEL + "/*")
public class UserController {

    @InitBinder
    public void initBinder(WebDataBinder binder) {
        // 禁止绑定foo字段，前端提交的foo参数会被直接忽略
        binder.setDisallowedFields("foo");
    }

    // ...你的其他方法...
}

这个方法简单直接，适合快速解决单个控制器的问题，但缺点是如果实体有多个私密字段，或者多个控制器都用到这个实体，需要重复配置，扩展性不如DTO方案。

3. 服务层强制重置私密字段 #

正如你提到的，在服务层主动重置私密字段也是一种可行方式，虽然繁琐但能作为最后一道防线：

public User createUser(User user) {
    Date currentDate = new Date();
    user.setCreated(currentDate);
    // 强制把私密字段设为null或默认值，覆盖前端提交的任何值
    user.setFoo(null);
    userRepository.save(user);
    return user;
}

这个方法可以作为前两种方案的补充，确保即使前面的绑定环节出现疏漏，私密字段也不会被恶意设置。

关于防止数据库字段注入 #

首先明确：只要你用Spring Data JPA的默认save、find等方法，或者在自定义@Query中使用参数绑定（比如:username），就不会有SQL注入风险。因为Spring Data JPA底层会用JDBC的PreparedStatement，自动对参数进行转义处理。

一定要避免手动拼接SQL字符串，比如不要写这样的危险代码：

// 危险！存在SQL注入风险
@Query("SELECT u FROM User u WHERE u.username = '" + username + "'")

正确的做法是使用参数绑定：

// 安全，参数会被自动转义
@Query("SELECT u FROM User u WHERE u.username = :username")
User findByUsername(@Param("username") String username);

内容的提问来源于stack exchange，提问作者Volodymyr Melnyk