Question

我有这些只读字段需要是安全的，比如密码。假设我们有一个用户对象：

public class User {
  @NotEmpty
  @Size(max = 100)
  private String name;
  @NotEmpty
  private String username;
  @NotEmpty
  @Email
  private String email;
  private String password;

  @JsonIgnore
  public String getPassword() {
    return password;
  }

  @JsonProperty
  public void setPassword(String password) {
    this.password = password;
  }
}

所以，这很好用;就像我可以得到/发布/放置任何我想要的，但我永远不会收到密码。但我也想确保在第一次发布时，密码不应为空。如果我做

@NotEmpty
private string password;

如果我不想更改此用户的密码，那么我的PUT（编辑）请求将失败，并显示验证错误。

我能想到两种解决方案：

1 - 继承User类，只为POST创建一个特殊的类，它可以在getter上有@NotEmpty注释。

public static class Create extends User {
  @NotEmpty
  @Override
  public String getPassword() {
    return password;
  }
}

这应该可以正常工作，但不适用于我的代码库，因为它已经在CRUD资源上大大利用了继承。我需要为这种方法打破并复制很多东西。

2 - 处理资源类的验证：

public class UserResource {

  @POST
  public User createUser(User user) {
    if(user.getPassword().isEmpty()) {
      throw new ConstraintValidation....();
    }
  }
}

这份工作，但不是那么漂亮。特别是因为我有5-10个。

还有其他选择吗？

Answer 1

除了针织衬衫和定制验证器之外，我发现了一种更酷，更容易，更顺畅的解决方案，我认为您可能感兴趣，Natan：

DW支持验证组。通过这些，您可以根据您的方法决定要注释的内容，而无需验证方法。你可以在这里阅读更多相关内容：

http://www.dropwizard.io/0.9.0/docs/manual/validation.html

（fwiw我在我的例子中使用RC版本。）

让我们开始吧：

@Path("/hello/world")
@Produces(MediaType.APPLICATION_JSON)
public class HelloWorldResource {

    @POST
    @Path("/v1")
    @Consumes(MediaType.APPLICATION_JSON)
    @Produces(MediaType.APPLICATION_JSON)
    public Response test(@Valid @Validated(V1Check.class) User user) {
        // checks only username
        System.out.println(user.getName());
        System.out.println(user.getPassword());

        return Response.ok().build();
    }


    @POST
    @Path("/v2")
    @Consumes(MediaType.APPLICATION_JSON)
    @Produces(MediaType.APPLICATION_JSON)
    public Response test2(@Valid @Validated(V2Check.class) User user) {
        // checks both
        System.out.println(user.getName());
        System.out.println(user.getPassword());

        return Response.ok().build();
    }
}

这是资源类。看看我如何用@Validated注释这两个方法。这告诉DW要准确验证什么。

这是我的用户类：

public class User {

    @JsonProperty("name")
    private String name;

    @JsonProperty("password")
    private String password;

    @NotEmpty(message="other message", groups= {V2Check.class} )
    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }

    @NotEmpty(message="asd asd asd", groups= {V1Check.class, V2Check.class } )
    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }

    public interface V1Check {};
    public interface V2Check {};
}

我也在那个类中嵌入了接口。密码现在只检查V2。因此，对于您的POST方法，您将要将其添加到Validated注释，而您的get方法可以保持V1检查并忽略密码。

为了更好的衡量标准，我的测试的起点：

public class Starter extends Application<Configuration> {

    @Override
    public void run(Configuration configuration, Environment environment) throws Exception {
        environment.jersey().register(HelloWorldResource.class);
    }

    public static void main(String[] args) throws Exception {
        new Starter().run("server", "/Users/artur/dev/repo/dw-test/src/main/resources/configuration.yaml");
    }

}

这是DW的方法，但是您也应该能够将泽西注入添加到自定义验证器中。编写自定义验证器似乎没有必要，因为您不需要检查密码。

这是我的卷发。 user_json2：

{
    "name" : "artur"
}

V1，不检查密码：

arturk:tmp artur$ curl -XPOST "localhost:9085/hello/world/v1/" --header "Content-Type: application/json" -d @user_json2 -v
    *   Trying ::1...
    * Connected to localhost (::1) port 9085 (#0)
    > POST /hello/world/v1/ HTTP/1.1
    > Host: localhost:9085
    > User-Agent: curl/7.43.0
    > Accept: */*
    > Content-Type: application/json
    > Content-Length: 19
    >
    * upload completely sent off: 19 out of 19 bytes
    < HTTP/1.1 200 OK
    < Date: Fri, 27 May 2016 09:59:22 GMT
    < Content-Length: 0
    <
    * Connection #0 to host localhost left intact

V2，检查密码：

arturk:tmp artur$ curl -XPOST "localhost:9085/hello/world/v2/" --header "Content-Type: application/json" -d @user_json2 -v
*   Trying ::1...
* Connected to localhost (::1) port 9085 (#0)
> POST /hello/world/v2/ HTTP/1.1
> Host: localhost:9085
> User-Agent: curl/7.43.0
> Accept: */*
> Content-Type: application/json
> Content-Length: 19
>
* upload completely sent off: 19 out of 19 bytes
< HTTP/1.1 400 Bad Request
< Date: Fri, 27 May 2016 10:07:41 GMT
< Content-Type: text/html;charset=iso-8859-1
< Cache-Control: must-revalidate,no-cache,no-store
< Content-Length: 251
<
<html>
<head>
<meta http-equiv="Content-Type" content="text/html;charset=utf-8"/>
<title>Error 400 Bad Request</title>
</head>
<body><h2>HTTP ERROR 400</h2>
<p>Problem accessing /hello/world/v2/. Reason:
<pre>    Bad Request</pre></p>
</body>
</html>
* Connection #0 to host localhost left intact

我希望有所帮助！

干杯，

阿图尔

Dropwizard仅在@POST上验证字段

1 个答案: