Специальное сообщение Spring MVC для HTTP 400

Question

У меня есть несколько методов SprigMVC, как показано ниже, возвращая либо ModelAndView, либо Responsebody. Когда пользователи делают запрос на эти URL-адреса, у которых отсутствуют требуемые параметры, они, естественно, получают сообщение «Обязательный параметр строки« id »нет».

С точки зрения безопасности Я хочу скрыть подробное описание сообщения от пользователей. Таким образом, хакер не легко знает недостающие параметры и получит ошибку 400 без какого-либо описания. Возможно ли это с помощью конфигурации пружины/Spring Security или мне придется вручную реорганизовать все мои методы, чтобы каким-то образом вернуть пользовательское сообщение.

@RequestMapping(value = "/payment", method = RequestMethod.GET) 
public ModelAndView getReponse(@RequestParam(value = "id", required = true)) { 

    return model; 
} 

@RequestMapping(value = "/status", method = RequestMethod.GET) 
public @ResponseBody String getStatus(@RequestParam(value = "id", required = true) String id) { 

    return "string"; 
} 

Answer 1

То, что вы на самом деле нужно, это глобальный обработчик для MissingServletRequestParameterException, который выбрасывается весной, когда параметр запроса отсутствует. Самый простой способ решить эту проблему - использовать ControllerAdvice, который будет обрабатывать его для всех ваших контроллеров.

import org.springframework.web.bind.MissingServletRequestParameterException; 

@ControllerAdvice 
class MissingServletRequestParameterExceptionHandler { 
    @ExceptionHandler(MissingServletRequestParameterException.class) 
    @ResponseBody 
    @ResponseStatus(HttpStatus.BAD_REQUEST) 
    public String handleMissingParameter() { 
     return "Your custom result"; 
    } 
} 

Если вы хотите, чтобы скрыть сообщение недостающего параметра только для конкретного контроллера, просто переместить handleMissingParameter метод к этому контроллеру без создания ControllerAdvice.

Answer 2

Я лично поддержал ответ Даниэля Ольшевского, потому что это бедро, красивое, лаконичное и читаемое, хотя и на публично доступном сайте, ориентированном на клиента (когда вы выходите за рамки быстрого прототипирования с использованием фазы Spring Boot и должны быть абсолютно уверены, что ничего не пропустит), можно использовать его вместе с простым error-page в подходе web.xml (некоторые примеры здесь: Handle error 404 with Spring controller).

Это не может быть интересно (я, лично, презирать ничего XML, связанные за explainability), но (если вы не используете web.xml вообще в пользу WebApplicationInitializer), web.xml является почти самый низкий слой в веб-приложении, и никакая страница ошибки (вне зависимости от исключения или сопоставления URL-адресов) не пройдет через него, просто запомните, чтобы отобразить все коды состояния HTTP (т.е. иметь один элемент по умолчанию error-page без дочернего элемента error-code).

Решение для WebApplicationInitializer аналогично, некоторые примеры здесь: Using Spring MVC 3.1+ WebApplicationInitializer to programmatically configure session-config and error-page.

Самым низким уровнем подхода слоя является установка ширины экрана с ошибкой, например. для Tomcat: http://linux-sxs.org/internet_serving/c581.html.