Spring验证：由于密码编码，@Pattern的ConstraintViolationException

Question

我只是在实现一个基本的CRUD服务，用户可以在数据库中创建，其密码与特定的正则表达式匹配，并使用BCryptPasswordEncoder进行编码。

我的测试失败，因为密码上有一个ConstraintViolationException，表示它不满足regex要求：

javax.validation.ConstraintViolationException: Validation failed for classes [com.hoaxify.hoaxify.user.User] during persist time for groups [javax.validation.groups.Default, ]
List of constraint violations:[
    ConstraintViolationImpl{interpolatedMessage='must match "^(?=.*[a-z])(?=.*\d)(?=.*[A-Z]).{8,50}$"', propertyPath=password, rootBeanClass=class com.hoaxify.hoaxify.user.User, messageTemplate='{javax.validation.constraints.Pattern.message}'}

它没有陷入我的@ExceptionHandler，因为它抛出了一个ConstraintViolationExc0019，而不是一个MultiodArgumentNotValidExc0019。我调试并发现，当它试图匹配给定的正则表达式时，密码本身的值显示为：
$2a10$pmRUViwj3Ey4alK0eqT1Dulz4BpGSlSReHyBR28K6bIE4。LZ7nYWG
而被传递的密码是：
P4sword

因此，验证似乎是在加密密码而不是原始密码上运行的。我认为验证应该在createUser方法中接收的对象上进行，然后再进行任何其他操作。

任何关于为什么会发生这种情况以及如何修复的帮助都将不胜感激。

• 验证适用于所有其他字段

@RestController
@RequestMapping("{my/path}")
class UserController {

    @Autowired
    lateinit var userService: UserService

    @PostMapping
    fun createUser(@Valid @RequestBody user: User): GenericResponse {
        userService.save(user)
        return GenericResponse("Saved user")
    }

    @ExceptionHandler(MethodArgumentNotValidException::class)
    @ResponseStatus(HttpStatus.BAD_REQUEST)
    fun handleValidationException(exception: MethodArgumentNotValidException, request: HttpServletRequest): ApiError {
        val error = ApiError(400, "Validation error", request.servletPath)

        val bindingResult = exception.bindingResult
        bindingResult.fieldErrors.forEach {
            error.validationErrors[it.field] = it.defaultMessage ?: "invalid"
        }

        return error
    }
}

@Entity
class User(
    @Id
    @GeneratedValue
    val id: Long,
    @field:NotBlank
    @field:Size(min = 4, max = 50)
    var username: String,
    @field:NotBlank
    @field:Size(min = 4, max = 50)
    var displayName: String,
    @field:NotBlank
    @field:Pattern(regexp = """^(?=.*[a-z])(?=.*\d)(?=.*[A-Z]).{8,50}$""")
    var password: String
)

@Service
class UserService(
    private val userRepository: UserRepository,
    private val passwordEncoder: BCryptPasswordEncoder = BCryptPasswordEncoder()
) {

    fun save(user: User): User {
        user.password = passwordEncoder.encode(user.password)
        return userRepository.save(user)
    }
}

（有关测试）

@Test
fun postUser_whenUserIsValid_receiveOk() {
    val user = User(
        0,
        "test-user",
        "test-display",
        "P4ssword"
    )
    val response: ResponseEntity<Any> = testRestTemplate.postForEntity(API_USERS_BASE, user, Any::class.java)
    assertThat(response.statusCode).isEqualTo(HttpStatus.OK)
}

Answer 1

问题是，您在控制器中使用的实体与在服务中使用的实体相同。因此，在控制器中，它的工作方式与您预期的一样。但在服务中，你用加密的密码更新未加密的密码，并将其保存到数据库中。保存到数据库时，也会检查验证注释，从而触发ConstraintViolationException。

最好的选择是为控制器创建一个单独的对象。例如，创建一个类似于User实体的CreateUserRequest类，但只包含控制器需要的字段。您可以在那里添加验证注释。然后在服务中，将CreateUserRequest实例转换为User实体。在用户类上，删除@模式验证，因为您不想验证加密的密码。