是否应该使用实体类作为请求主体[关闭]

假设我必须保存一个实体，在本例中为 Book。我有下一个代码：

@RestController
@RequestMapping("books")
public class BookController {
    
    @Inject
    BookRepository bookRepository;
    
    @PostMapping
    public Book saveBook(@RequestBody Book book) {
        return bookRepository.save(book);
    }
}

我的实体 Book 是一个持久性实体：

@Entity(name = "BOOK")
public class Book{

    @Id
    @Column(name = "book_id")
    private Integer id;

    @Column(name = "title")
    private String title;

    (get/sets...)
}

问题是：使用我的持久性实体是一种不好的做法@RequestBody控制器层？或者我应该创建一本书 DTO 并将其映射到服务层中的持久性类？什么更好，为什么？

您应该创建一个 DTO 类并将其映射到持久性类。参考本规则说明 https://rules.sonarsource.com/java/tag/spring/RSPEC-4684对于相同的。指定的原因是

如果将持久对象用作用 @RequestMapping 注释的方法的参数，则可以通过特制的用户输入将意外字段的内容更改到数据库中

除此之外，使用 DTO，我们可以省略一些我们不希望在表示层中出现/可见的持久对象属性。

您可以将 DTO 类映射到控制器本身的持久性实体，如下所示。

@RestController
@RequestMapping("books")
public class BookController {
    
    @Autowired
    BookRepository bookRepository;

    @Autowired
    ModelMapper modelMapper
    
    @PostMapping
    public Book saveBook(@RequestBody BookDTO modelBook) {
        Book book = this.modelMapper.map(modelBook, Book.class);
        return bookRepository.save(book);
    }
}

ModelMapper 是一个框架，用于执行 DTO 到实体的映射，反之亦然。查看模型映射器网站 http://modelmapper.org/.

您可以参考回答和评论 https://stackoverflow.com/questions/54233672/how-to-avoid-the-vulnerability-created-by-using-entities-at-a-requestmapping-met有关相同内容的更多信息。