本文探讨了在java中处理嵌套dto时，如何有效隐藏敏感数据以避免在api响应中暴露。核心方法是利用jackson库的`@jsonproperty(access = jsonproperty.access.write_only)`注解，直接在敏感字段所属的dto类中进行配置，确保数据在序列化时被忽略。同时，也简要提及了自定义序列化器的方案，并强调了在源dto层面统一管理序列化策略的重要性，以提升安全性和可维护性。
Java中嵌套DTO敏感数据序列化隐藏策略
在构建restful API时，经常会遇到数据传输对象（DTO）之间存在关联关系的情况。例如，一个BillsDto可能包含一个UserDto对象。此时，如果UserDto中包含用户名、密码、年龄等敏感信息，我们通常不希望这些信息在查询账单列表时被一同序列化并暴露给客户端。本文将详细介绍如何利用Jackson库的注解机制，有效控制嵌套对象中敏感字段的序列化行为。
问题场景描述
假设我们有两个DTO类，BillsDto和UserDto，结构如下：
// BillsDto.java public class BillsDto { private String numberBills; private double amount; private Date deadlinePayment; private UserDto user; // 希望在此处隐藏UserDto中的敏感字段 }
// UserDto.java public class UserDto { private String number_id; private String username; // 敏感字段 private String password; // 敏感字段 private String firstName; private String lastName; private String age; // 敏感字段 }
我们的目标是，在序列化BillsDto时，user字段中的username、password和age不应出现在最终的JSON输出中。
核心解决方案：使用@jsonProperty(access = JsonProperty.Access.WRITE_ONLY)
Jackson库提供了强大的注解功能来控制JSON的序列化和反序列化行为。对于隐藏敏感字段，最推荐且最安全的方法是直接在敏感字段所属的DTO类（即UserDto）上应用@JsonProperty注解，并将其access属性设置为JsonProperty.Access.WRITE_ONLY。
立即学习“Java免费学习笔记（深入）”；
JsonProperty.Access.WRITE_ONLY表示该字段只用于反序列化（写入对象），而不会在序列化（读取对象）时包含在JSON输出中。
实现步骤
-
修改UserDto类： 在UserDto中，对需要隐藏的敏感字段（username, password, age）添加@JsonProperty(access = JsonProperty.Access.WRITE_ONLY)注解。
import com.fasterxml.jackson.annotation.JsonProperty; public class UserDto { private String number_id; @JsonProperty(access = JsonProperty.Access.WRITE_ONLY) private String username; @JsonProperty(access = JsonProperty.Access.WRITE_ONLY) private String password; private String firstName; private String lastName; @JsonProperty(access = JsonProperty.Access.WRITE_ONLY) private String age; // 省略构造函数、Getter和Setter } -
验证效果： 当BillsDto对象被序列化为JSON时，其内部的UserDto对象将不再包含username、password和age字段。无论UserDto在何处被嵌套使用，此序列化策略都将生效。
优点
- 集中管理： 序列化策略直接定义在数据源（UserDto）本身，使得代码更易于理解和维护。
- 全局一致性： 无论UserDto在哪个父DTO中被引用，其敏感字段的序列化行为都保持一致，避免了在不同上下文中可能出现的遗漏或错误。
- 安全性高： 降低了敏感数据意外暴露的风险，因为一旦标记为WRITE_ONLY，这些字段就不会被序列化。
替代方案：自定义序列化器（不推荐用于敏感数据隐藏）
虽然不推荐作为隐藏敏感数据的主要手段，但了解自定义序列化器也是有益的。如果你出于某种特殊原因，只能修改BillsDto而不能修改UserDto，或者需要在特定场景下对UserDto进行不同的序列化处理，可以考虑为BillsDto中的user字段应用@JsonSerialize注解，并指定一个自定义的序列化器。
import com.fasterxml.jackson.databind.annotation.JsonSerialize; // 假设你创建了一个 UserDtoCustomSerializer 类 public class BillsDto { private String numberBills; private double amount; private Date deadlinePayment; @JsonSerialize(using = UserDtoCustomSerializer.class) // 应用自定义序列化器 private UserDto user; }
UserDtoCustomSerializer需要实现JsonSerializer<UserDto>接口，并在其中手动控制UserDto的序列化逻辑，排除敏感字段。
缺点
- 分散管理： 序列化逻辑分散在多个地方，如果UserDto被多个父DTO引用，每个父DTO都需要单独处理，增加了维护成本和出错的可能性。
- 安全性风险： 容易遗漏。如果某个地方忘记应用自定义序列化器，敏感数据就可能被意外暴露。
- 复杂性增加： 需要额外编写和维护自定义序列化器类。
总结与最佳实践
在Java中处理嵌套DTO的敏感数据序列化问题时，最佳实践是：
- 首选在源DTO（如UserDto）层面使用@JsonProperty(access = JsonProperty.Access.WRITE_ONLY)。 这种方法最直接、最安全，确保敏感数据在任何序列化场景下都不会被暴露。
- 避免使用自定义序列化器来隐藏敏感数据，除非有非常特殊的、不可替代的理由。 如果确实需要，请确保严格的测试和审查流程，以防止安全漏洞。
通过在数据源层面统一管理序列化策略，我们不仅能有效保护敏感信息，还能提高代码的可读性、可维护性和整体系统的安全性。