Spring Boot与Jackson：强制XML反序列化拒绝未知属性-java教程-PHP中文网

Spring Boot与Jackson：强制XML反序列化拒绝未知属性

碧海醫心

发布： 2025-11-17 12:25:01

原创

857人浏览过

Spring Boot与Jackson：强制XML反序列化拒绝未知属性

spring boot应用在处理xml请求体时，默认情况下jackson反序列化器会静默忽略dto中未定义的xml属性。为提升数据校验的严格性和安全性，本文将指导如何在spring boot中配置jackson，使其在遇到请求体中包含dto未定义属性时抛出异常，从而强制执行严格的数据模型匹配。

默认行为与潜在风险

在Spring Boot应用中，当使用Jackson处理XML或JSON请求体时，如果传入的数据包含目标数据传输对象（DTO）中未定义的属性，Jackson的默认行为是静默地忽略这些未知属性，而不是抛出错误。这在某些场景下可能方便，但在需要严格数据校验的API中，却可能导致以下问题：

数据不一致性： 客户端发送了预期之外的数据，但服务器端却无感知地接受了请求，可能掩盖了客户端的错误或版本不匹配问题。
安全隐患： 恶意用户可能尝试注入未知属性，虽然Jackson默认忽略，但在特定配置或业务逻辑下，仍可能产生不可预见的行为。
调试困难： 当数据结构发生变化，或客户端发送了错误的数据时，服务器端没有明确的错误提示，增加了问题排查的难度。

以下是一个典型的Kotlin/Java Spring Boot控制器和DTO示例，展示了这种默认行为：

DTO定义：

// Kotlin
data class Data(
   val item: String
)

// Java
public class Data {
    private String item;

    public Data() {} // Default constructor for Jackson

    public Data(String item) {
        this.item = item;
    }

    public String getItem() {
        return item;
    }

    public void setItem(String item) {
        this.item = item;
    }
}

登录后复制

Spring Boot控制器：

// Kotlin
@RestController
@RequestMapping("/api")
class DataController {

    @PostMapping("/data", consumes = [MediaType.APPLICATION_XML_VALUE])
    fun pushMasterData(@RequestBody data: Data): Data {
       println("Received item: ${data.item}")
       return data
    }
}

// Java
@RestController
@RequestMapping("/api")
public class DataController {

    @PostMapping(value = "/data", consumes = MediaType.APPLICATION_XML_VALUE)
    public Data pushMasterData(@RequestBody Data data) {
        System.out.println("Received item: " + data.getItem());
        return data;
    }
}

登录后复制

当向/api/data端点发送如下XML请求体时：

<items>
   <item>foo</item>
   <trash>This should not be allowed!</trash>
</items>

登录后复制

在默认配置下，Spring Boot应用会成功处理请求，并打印Received item: foo，而对<trash>标签的存在视而不见。

配置Jackson强制拒绝未知属性

为了强制Jackson在反序列化过程中遇到DTO中未定义的属性时抛出异常，我们可以通过Spring Boot的配置属性来启用Jackson的严格模式。

核心配置属性是：

spring.jackson.deserialization.fail-on-unknown-properties=true

登录后复制

将此配置添加到你的application.properties或application.yml文件中即可。

配置原理：

Spring Boot的自动配置机制会将spring.jackson.deserialization.fail-on-unknown-properties属性映射到Jackson ObjectMapper实例的DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES特性。当此特性被设置为true时，Jackson在尝试将输入流（如XML或JSON）反序列化为Java对象时，如果遇到在目标Java类中没有对应字段的属性，就会抛出UnrecognizedPropertyException异常。

实战示例

让我们将上述配置应用到之前的Spring Boot项目中。

创建或修改application.properties文件：

在src/main/resources/application.properties文件中添加：

序列猴子开放平台
具有长序列、多模态、单模型、大数据等特点的超大规模语言模型

0

查看详情
```
spring.jackson.deserialization.fail-on-unknown-properties=true
```
登录后复制
或者，如果你偏好YAML格式，在application.yml中添加：
```
spring:
  jackson:
    deserialization:
      fail-on-unknown-properties: true
```
登录后复制
DTO和Controller保持不变：

使用之前定义的Data DTO和DataController。

测试请求：

再次向/api/data端点发送包含未知属性的XML请求：

<items>
   <item>foo</item>
   <trash>This should not be allowed!</trash>
</items>

登录后复制

预期结果：

此时，Spring Boot应用将不再接受此请求，而是会返回一个HTTP 400 Bad Request错误，并在响应体中包含Jackson抛出的UnrecognizedPropertyException异常信息，明确指出哪个未知属性导致了反序列化失败。例如：

{
    "timestamp": "...",
    "status": 400,
    "error": "Bad Request",
    "message": "Unrecognized field \"trash\" (class com.example.demo.Data), not marked as ignorable\n at [Source: (PushbackInputStream); line: 3, column: 15] (through reference chain: com.example.demo.Data[\"trash\"])",
    "path": "/api/data"
}

登录后复制

注意事项

全局生效： spring.jackson.deserialization.fail-on-unknown-properties=true配置是全局性的，它会影响应用中所有通过Jackson进行反序列化的操作。这意味着所有XML和JSON请求体都会受到此严格校验的约束。
局部控制： 如果你希望大多数DTO保持严格校验，但某些特定DTO需要忽略未知属性，可以使用Jackson的@JsonIgnoreProperties注解。例如：
```
@JsonIgnoreProperties(ignoreUnknown = true)
public class LenientData {
    private String field1;
    // ...
}
```
登录后复制
当一个类上存在@JsonIgnoreProperties(ignoreUnknown = true)注解时，它会覆盖全局配置，使得该特定DTO在反序列化时忽略未知属性。
XML与JSON通用性： 尽管本教程以XML为例，但fail-on-unknown-properties配置同样适用于JSON请求体的反序列化。Jackson是Spring Boot默认的JSON处理器，而通过jackson-dataformat-xml库，它也能处理XML。
错误处理： 当Jackson抛出UnrecognizedPropertyException时，Spring Boot的默认错误处理机制会将其封装为HTTP 400 Bad Request响应。在生产环境中，你可能需要自定义全局异常处理器（例如使用@ControllerAdvice），以提供更友好或更详细的错误信息给客户端。

总结

通过简单地在application.properties中设置spring.jackson.deserialization.fail-on-unknown-properties=true，我们可以显著提升Spring Boot应用在处理XML（和JSON）请求体时的健壮性和安全性。这种配置强制执行严格的数据模型匹配，有助于及早发现和纠正客户端发送的错误数据，从而构建更可靠、更易于维护的API服务。在大多数业务场景下，推荐启用此配置以确保数据输入的严格性。

以上就是Spring Boot与Jackson：强制XML反序列化拒绝未知属性的详细内容，更多请关注php中文网其它相关文章！