如何防止@ModelAttribute从请求参数创建命令对象？

Question

即。我只想从模型中检索现有对象（主要是一些SessionAttributes）。

我不希望创建新对象，我特别不希望从请求参数中实例化对象并将其放入模型中。这听起来像是我的后门。

如果模型中没有匹配的参数，则抛出异常也会很棒。

Answer 1

我通过阅读源代码得到了答案。根据{{​​1}}的实现，如果使用@SessionAttributes批注将model属性的名称声明为会话属性，则不会创建新的绑定对象。

如果会话中不存在该属性，则会抛出异常。

因此以这种方式绑定会话属性是相对安全的。