一行代碼引來(lái)的安全漏洞就讓我們丟失了整個(gè)服務(wù)器的控制權(quán)

統(tǒng)一錯(cuò)誤信息配置管理代碼實(shí)現(xiàn)

關(guān)鍵信息其實(shí)就在于一個(gè) GlobalExceptionHandler，對(duì)所有 Controller 入口進(jìn)行 AOP 攔截，根據(jù)不同的錯(cuò)誤信息，獲取相應(yīng)資源文件配置的 key，并從語(yǔ)言資源文件中讀取不同國(guó)家的錯(cuò)誤翻譯信息。

@ControllerAdvice public class GlobalExceptionHandler { @ExceptionHandler(BadRequestException.class) @ResponseBody public ResponseEntity handle(HttpServletRequest request, BadRequestException e){
        String i18message = getI18nMessage(e.getKey(), request); return ResponseEntity.status(HttpStatus.BAD_REQUEST).body(Response.error(e.getCode(), i18message));
    } @ExceptionHandler(ErrorCodeException.class) @ResponseBody public ResponseEntity handle(HttpServletRequest request, ErrorCodeException e){
        String i18message = getI18nMessage(e.getKey(), request); return ResponseEntity.status(HttpStatus.OK).body(Response.error(e.getCode(), i18message));
    }
}

private String getI18nMessage(String key, HttpServletRequest request) { try { return messageSource.getMessage(key, null, LanguaggeUtils.currentLocale(request));
   } catch (Exception e) { // log return key;
   }
}

基于注解的表單校驗(yàn)（含自定義注解）

還有一種常見(jiàn)的業(yè)務(wù)場(chǎng)景就是后端接口需要對(duì)用戶提交的表單進(jìn)行校驗(yàn)。以“注冊(cè)用戶”這樣的場(chǎng)景舉例說(shuō)明， 注冊(cè)用戶時(shí)，往往會(huì)提交昵稱，性別，郵箱等信息進(jìn)行注冊(cè)，簡(jiǎn)單起見(jiàn)，就以這 3 個(gè)屬性為例。

定義的表單如下：

public class UserRegForm { private String nickname; private String gender; private String email;
}

對(duì)于表單的約束，我們有：

• 昵稱字段：“nickname” 必填，長(zhǎng)度必須是 6 到 20 位；
• 性別字段：“gender” 可選，如果填了，就必須是“Male/Female/Other/”中的一種。（說(shuō)啥，除了男女還有其他？對(duì)，是的。畢竟全球用戶嘛，你去看看非死不可，還有更多。）
• 郵箱：“email”，必填，必須滿足郵箱格式。
  

對(duì)于以上約束，我們只需要在對(duì)應(yīng)的字段上添加如下注解即可。

public class UserRegForm { @Length(min = 6, max = 20, message = "validate.userRegForm.nickname") private String nickname; @Gender(message="validate.userRegForm.gender") private String gender; @NotNull @Email(message="validate.userRegForm.email") private String email;
}

然后在各個(gè)語(yǔ)言資源文件中配置好相應(yīng)的錯(cuò)誤信息提示即可。其中， @Gender 就是一個(gè)自定義的注解。

@Documented @Constraint(validatedBy = CustomValidator.class) @Target({FIELD, METHOD, PARAMETER, ANNOTATION_TYPE}) @Retention(RetentionPolicy.RUNTIME) public @interface CustomParam { String message() default "name.tanglei.www.validator.CustomArray.defaultMessage";

    Class[] groups() default {};
    Class[] payload() default { }; @Documented @Retention(RetentionPolicy.RUNTIME) @Target({FIELD, METHOD, PARAMETER, ANNOTATION_TYPE}) @interface List {
        CustomParam[] value();
    }
}

public class CustomValidator implements ConstraintValidator<CustomParam, String> { @Override public boolean isValid(String s, ConstraintValidatorContext constraintValidatorContext) { if (null == s || s.isEmpty()) { return true;
        } if (s.equals("tanglei")) { return true;
        } else {
            error(constraintValidatorContext, "Invalid params: " + s); return false;
        }
    } @Override public void initialize(CustomParam constraintAnnotation) {
    } private static void error(ConstraintValidatorContext context, String message) {
        context.disableDefaultConstraintViolation();
        context.buildConstraintViolationWithTemplate(message).addConstraintViolation();
    }
}

/* ......
 * @param messageTemplate new un-interpolated constraint message
 * @return returns a constraint violation builder
 */ ConstraintViolationBuilder buildConstraintViolationWithTemplate(String messageTemplate);

特別推薦一個(gè)分享架構(gòu)+算法的優(yōu)質(zhì)內(nèi)容，還沒(méi)關(guān)注的小伙伴，可以長(zhǎng)按關(guān)注一下：
					

				

長(zhǎng)按訂閱更多精彩▼
					

				
如有收獲，點(diǎn)個(gè)在看，誠(chéng)摯感謝