Spring Boot+Jackson场景下是否应开启JSON Schema严格校验？

规范层面的约定 #

目前没有强制所有场景必须选择严格/宽松校验的统一行业标准，现有规范的相关约定如下：

• OpenAPI 3.x 规范默认遵循JSON Schema的原生规则：additionalProperties字段的默认值为true，也就是默认允许请求携带未定义的额外字段，Jackson默认忽略未知字段的行为完全符合该默认约定。只有当你在Schema中显式声明additionalProperties: false时，才要求接口必须对额外字段做拦截报错。
• 主流大厂的API设计指南均将「宽松校验、忽略未知字段」作为默认推荐策略，核心目的是保障接口的向后兼容性：服务端后续迭代新增字段后，旧版本客户端发送的请求不会被误拦截，避免跨团队发布节奏不一致导致的线上故障。

两种校验策略的适用场景 #

你可以根据自己的业务场景选择对应的校验规则：

• 选择宽松校验（默认忽略未知字段）：
  • 对外提供的公开API，需要兼容不同版本的客户端请求
  • 微服务内部调用，上下游服务的发布节奏无法完全同步
  • 普通业务接口，无特殊安全或数据一致性要求
• 选择严格校验（禁止未知字段）：
  • 高安全等级接口，比如支付、风控、权限校验相关接口，防止攻击者通过传入未定义字段绕过校验逻辑
  • 数据上报、配置写入类接口，需要及时发现上游系统的传参错误，避免脏数据入库

Spring Boot 开启严格校验的配置方式 #

如果你确定要开启严格校验，可以通过以下两种方式实现：

1. 全局生效配置，在application.yml中添加：

spring:
  jackson:
    deserialization:
      fail-on-unknown-properties: true

2. 单个请求实体类生效，给对应的DTO类添加注解：

import com.fasterxml.jackson.annotation.JsonIgnoreProperties;

@JsonIgnoreProperties(ignoreUnknown = false)
public class UserRequest {
    private String Name;
    private Integer Contact;
    // 省略getter、setter方法
}

内容的提问来源于stack exchange，提问作者Richie