如何利用 Setter 属性拦截非法的网络请求入参校验教程-js教程-PHP中文网

Setter 不拦截网络请求，只拦截对象属性赋值；它在请求体解析为对象后、业务使用前校验字段，不处理HTTP层信息，需与拦截器等协同防御。

如何利用 setter 属性拦截非法的网络请求入参校验教程

Setter 本身不拦截网络请求，它只拦截对对象属性的赋值操作。所谓“用 Setter 拦截网络请求入参”，本质是把请求数据先解析为对象实例，再通过受控的 setter 对每个字段做校验——这是后端或前端表单层的数据守门逻辑，不是在 HTTP 层拦截请求。

明确职责边界：Setter 不处理 HTTP 请求

网络请求（如 fetch、axios 调用或 SpringMVC 的 @RequestBody）到达业务代码前，已由框架完成解析。Setter 的作用发生在“解析之后、使用之前”——即数据从 JSON 变成 JS 对象或 Java Bean 的那一刻。它不接触 URL、Header、Cookie 或原始字节流，也不替代 Axios Interceptor、Spring 拦截器或 Nginx 配置。

混淆这点容易导致防御错位：比如在 setter 里校验 token 有效性，就属于逻辑错误；token 应在校验中间件或 Filter 中统一处理。

正确做法：把请求体转为带验证的实体对象

以用户注册接口为例，收到 { "email": "test@x", "age": -5 } 后，不应直接用 Object.assign(user, req.body)，而应走封装好的 setter 流程：

JavaScript（类 + 私有字段）：定义 class User { #email = ""; #age = 0; set email(v) { if (!/^[^s@]+@[^s@]+.[^s@]+$/.test(v)) throw new Error("邮箱格式错误"); this.#email = v.trim(); } set age(v) { const n = Number(v); if (!Number.isInteger(n) || n 150) throw new Error("年龄必须是0-150的整数"); this.#age = n; } }
Java（private + 强校验 setter）：public class User { private String email; private int age; public void setEmail(String email) { if (email == null || !email.matches("^[^@\s]+@[^@\s]+\.[^@\s]+$")) { throw new IllegalArgumentException("非法邮箱"); } this.email = email.trim(); } public void setAge(int age) { if (age 150) throw new IllegalArgumentException("年龄超出范围"); this.age = age; } }
接收请求时，手动调用这些 setter（而非反射直赋），例如：user.setEmail(req.body.email); user.setAge(req.body.age);

配合上层拦截器做协同防御

Setter 是最后一道数据结构校验，需与更前置的拦截机制配合：

HTTP 层拦截：用 Axios Interceptor 拦截所有请求，在发送前检查必填字段是否存在、Token 是否过期；用 Spring @ControllerAdvice 统一捕获 setter 抛出的 IllegalArgumentException 并返回 400 错误
路由级过滤：在 Express/Koa 中用中间件校验 Content-Type 是否为 application/json，拒绝非 JSON 请求，避免 setter 面对畸形输入
避免重复校验：如果已在 DTO 层用 @NotBlank、@Min 注解校验，就不必在 setter 再写相同逻辑——二者选其一，保持校验点唯一

常见陷阱与规避方式

直接把 req.body 赋给对象字段，等于绕过所有 setter：

❌ 错误：Object.assign(user, req.body) → 跳过所有 set 逻辑
✅ 正确：for (const [key, val] of Object.entries(req.body)) { if (typeof user[`set${capitalize(key)}`] === 'function') user[`set${capitalize(key)}`](val); }
⚠️ 注意：setter 内不要调用异步操作（如查数据库），否则会阻塞同步流程；敏感校验（如密码强度）可抽成独立函数，在 setter 中同步调用
⚠️ 前端表单提交时，若用 FormData 提交，需先转为对象再进 setter，避免传入 File 对象导致类型校验失败