HTTP 400的Spring MVC自定义消息

Question

我有几个像下面这样的SprigMVC方法，返回一个ModelAndView或一个ResponseBody。当用户向这些缺少所需参数的URL发出请求时，他们自然会得到消息“required String parameter'id'is not present”。

从安全的角度来看，我想对用户隐藏这些详细的描述消息。因此，黑客不容易知道丢失的参数，并将得到一个400的错误，没有任何说明。这可能通过spring配置/Spring Security还是我必须手动重构我的所有方法以某种方式返回一个自定义消息。

@RequestMapping(value = "/payment", method = RequestMethod.GET)
public ModelAndView getReponse(@RequestParam(value = "id", required = true)) {

    return model;
}

@RequestMapping(value = "/status", method = RequestMethod.GET)
public @ResponseBody String getStatus(@RequestParam(value = "id", required = true) String id) {

    return "string";
}

Answer 1

您实际需要的是MissingServletRequestParameterException的全局处理程序，它是Spring在缺少请求参数时抛出的。解决这个问题的最简单的方法是使用ControllerAdvice来处理所有控制器的问题。

import org.springframework.web.bind.MissingServletRequestParameterException;

@ControllerAdvice
class MissingServletRequestParameterExceptionHandler {
    @ExceptionHandler(MissingServletRequestParameterException.class)
    @ResponseBody
    @ResponseStatus(HttpStatus.BAD_REQUEST)
    public String handleMissingParameter() {
        return "Your custom result";
    }
}

如果您希望仅为特定控制器隐藏缺少的参数消息，只需将HandlemissingParameter方法移动到此控制器，而不创建ControllerAdvice。