MethodArgumentTypeMismMatchException-自定义错误消息？

Question

2021-07-01 04:59:14.995  WARN [tpe-rcf,2ff110026bf0649e,2ff110026bf0649e,false] 12800 
--- [nio-8080-exec-1] .w.s.m.s.DefaultHandlerExceptionResolver :   
Resolved [org.springframework.web.method.annotation.MethodArgumentTypeMismatchException:   
Failed to convert value of type 'java.lang.String' to required type 'java.lang.Integer';    
nested exception is java.lang.NumberFormatException: For input string: "<script>alert(11355545)</script>"]

{

... 

"message": "Failed to convert value of type 'java.lang.String' to required type 'java.lang.Integer'; nested exception is java.lang.NumberFormatException: For input string: \"<script>alert(11355545)</script>\"",

"path": "/a/b/c"

}

安全测试人员声称，我应该清理返回的JSON（即转义这些<符号），因为这可能会给旧的浏览器带来一些问题（即在浏览器中执行此JS代码）。

但是生成错误消息的是SpringBoot框架，
我在这里没有太多的控制权。

当然，我可以将参数定义为String，并自己进行验证，但我怀疑这是否是正确的方法。我的参数定义为Integer，我希望它保持这种方式。

做这件事最简单的方法是什么？

Answer 1

我不明白为什么@ControllerAdvise对你不起作用

这对于返回自定义消息非常有效

@RestControllerAdvice(basePackages = {"your.package"})
public class CustomRestExceptionHandler  {
    
    @ExceptionHandler({MethodArgumentTypeMismatchException .class})
    @ResponseStatus(HttpStatus.INTERNAL_SERVER_ERROR)
    public ResponseEntity<FooBarErrorEntity> methodArgumentTypeMismatchException(MethodArgumentTypeMismatchException ex) {
        return new ResponseEntity<>(new FooBarErrorEntity(message, path),
                                HttpStatus.INTERNAL_SERVER_ERROR);
    }
}

其中，FooBarErrorEntity可以是您的自定义错误实体，在这里您具有通常所期望的相同属性，您还可以解析消息并在ErrorEntity的构造函数中进行“消毒”，这将在出现更多要处理的异常时删除重复代码