在 Spring Boot 中，我们通过 @RequestMapping 注解来定义 API 端点，如下：
@RestController @RequestMapping public class DemoController { @GetMapping("/demo") public ResponseEntity<String> demo () { return ResponseEntity.ok("ok"); } } @GetMapping 是 @RequestMapping(method = RequestMethod.POST) 的快捷方式。
通过其 value 属性（path 属性的别名） 设置 API 的映射路径。
在本例中，路径就是：/demo。 启动应用，使用 cURL 进行访问。
$ curl localhost:8080/demo ok 一般来说，API 的路径不会轻易修改。而且路径是硬编码定义在注解中的，如果要修改的话，需要编辑源码重写编译打包。
但是，总有例外。如果我们想要灵活地修改 API 路径，那么可以在 @RequestMapping 中使用表达式从配置文件获取值。
先在配置文件（Properties / Yaml）中定义 API 路径：
app: router: demo: "/demo/v1" 然后，在 @RequestMapping 使用 ${app.router.demo} 获取该值，作为 API 的路径：
@RestController @RequestMapping public class DemoController { @GetMapping("${app.
1、概览 本文将带你了解几种模拟 HttpServletRequest 对象的方法。
首先，从 Spring Test 中的 MockHttpServletRequest 开始，这是一个功能齐全的模拟类型。然后，了解如何使用 Mockito 和 JMockit 这两个流行的模拟库进行测试。最后，了解如何使用匿名子类进行测试。
2、测试 HttpServletRequest 当我们要模拟客户端 request 信息（如 HttpServletRequest）来测试 Servlet 可能会有点麻烦，该接口定义了各种方法，需要进行实现。
要测试的目标 UserServlet 类，如下：
public class UserServlet extends HttpServlet { protected void doGet(HttpServletRequest request, HttpServletResponse response) throws IOException { String firstName = request.getParameter("firstName"); String lastName = request.getParameter("lastName"); response.getWriter().append("Full Name: " + firstName + " " + lastName); } } 要对 doGet() 方法进行单元测试，需要模拟 request 和 response 参数，以模拟实际的运行时行为。
3、使用 Spring 的 MockHttpServletRequest Spring-Test 提供了一个功能齐全的类 MockHttpServletRequest，它实现了 HttpServletRequest 接口。
1、概览 OpenAPI 是一种与语言无关且独立于平台的规范，用于标准化 REST API。OpenAPI 使用户能够在不深入代码的情况下轻松理解 API。
Swagger-UI 根据 OpenAPI 规范生成可视化文档，帮助可视化和测试 REST API。
本文将带你了解如何在 Spring Boot 应用中使用 Springdoc-OpenAPI 生成 OpenAPI 文档、测试 REST API 并为 OpenAPI 配置 JWT Authentication（认证）。
2、Swagger-UI Swagger-UI 是 HTML、Javascript 和 CSS 文件的集合，可根据 OpenAPI 规范生成 UI 界面。
当 API 数量不断增加时，编写 OpenAPI 文档规范就变得非常具有挑战性。Springdoc-OpenAPI 可以帮助我们自动生成 OpenAPI 文档。
接下来，我们通过示例了解如何使用 Springdoc-OpenAPI 库自动生成 REST API 的 OpenAPI 文档，并使用 Swagger-UI 可视化这些 API。
2.1、依赖 首先，添加 Springdoc-OpenAPI 依赖。
<dependency> <groupId>org.springdoc</groupId> <artifactId>springdoc-openapi-ui</artifactId> <version>1.6.9</version> </dependency> 此依赖还将 Swagger-UI web-jar 添加到 Spring Boot 应用中。
在一些数据比较敏感或者对安全要求比较高的应用中，客户端提交给服务器的数据需要进行加密，服务器需要解密后才能获取到原始的请求数据。
在 Spring Boot 中，可以通过 RequestBodyAdvice 对请求体进行统一的解密处理，这对 Controller 来说是完全透明的，极大地提高了应用的可维护性。
RequestBodyAdvice 接口 这是由 spring mvc 提供的一个增强接口，用于在 HttpMessageConverter 读取请求体并把它转换为 Java 对象之前进行一些操作。
public interface RequestBodyAdvice { boolean supports(MethodParameter methodParameter, Type targetType, Class<? extends HttpMessageConverter<?>> converterType); HttpInputMessage beforeBodyRead(HttpInputMessage inputMessage, MethodParameter parameter, Type targetType, Class<? extends HttpMessageConverter<?>> converterType) throws IOException; Object afterBodyRead(Object body, HttpInputMessage inputMessage, MethodParameter parameter, Type targetType, Class<? extends HttpMessageConverter<?>> converterType); @Nullable Object handleEmptyBody(@Nullable Object body, HttpInputMessage inputMessage, MethodParameter parameter, Type targetType, Class<? extends HttpMessageConverter<?
简介 本文将带你了解 Spring Boot 应用中对 API 进行版本控制的重要性，以及不同的实现方式。
通过 API 版本控制，你可以对API进行更改，而不会破坏与现有客户端的兼容性。本文将介绍四种常见的版本控制方式：URI 版本控制、请求参数版本控制、自定义 Header 版本控制和内容协商（Accept Header）版本控制。
URI 版本控制 URI 版本控制涉及将版本号添加到 API 的 URL 中。这是一种直接而易于理解的方法。然而，它可能不是最优雅的方法，因为它可能导致URL变得很长。
示例：
@RestController @RequestMapping("/api/v1/users") public class UserControllerV1 { @GetMapping public ResponseEntity<List<User>> getUsers() { // 实现代码 } // 其他端点 } 请求参数版本控制 采用这种方法时，版本号会作为请求参数传递。这种方法比 URI 版本控制更省事，但对消费者来说可能不那么直观。
示例：
@RestController public class UserController { @GetMapping(value = "/api/users", params = "version=1") public ResponseEntity<List<User>> getUsersV1() { // 实现代码 } @GetMapping(value = "/api/users", params = "version=2") public ResponseEntity<List<User>> getUsersV2() { // 实现代码 } } 自定义 Header 版本控制 自定义 Header 版本控制涉及向 HTTP 请求添加一个自定义 Header，其中包含版本号。这种方法可以保持 URI 的清晰，但消费者必须记住要添加自定义 Header。
GraphQL 是啥？ 根据其 官方文档，“GraphQL 是一种用于 API 的查询语言，也是一种服务器端运行时，可使用你为数据定义的类型系统来执行查询”。该语言由 Meta 公司开发并开源，目前由众多公司和个人社区共同维护。
GraphQL 包括 2 个主要部分：
Schema Definition Language（Schema 定义语言） - 使用 GraphQL SDL（Schema 定义语言）指定服务的 GraphQL Schema，有时也称为 GraphQL Schema 语言。 Query Language（查询语言） - 查询语言由Query、Mutation 和 Subscription 三部分组成 本文稍后会进行介绍。
GraphQL 有很多出色的功能，例如：
它实现了声明式数据获取，并提供了一个单一的端点，客户端可以准确地指定所需的信息，不再需要过度获取信息。 它提供开箱即用的验证和类型检查功能，你可以在执行前在 GraphQL 强类型系统中验证查询。 GraphQL 可以使 API 文档与 API 的更改保持同步。这对开发人员非常有益，因为他们无需花费太多时间来编写 API 文档。 GraphQL 通过在字段级别废除 API，消除了对版本控制的需求。旧字段可以在不影响现有查询的情况下从 Schema 中删除。 也有一些缺点：
GraphQL 需要客户端和服务器端更多的工具支持。这需要大量的前期付出。对于非常简单的 API 用例来说，这不是一个合适的替代方案。 GrpahQL 只有一个入口，默认使用 HTTP POST。这就妨碍了客户端 HTTP 缓存的充分使用，并使得实现缓存成为一项相对复杂的任务。 GraphQL Schema GraphQL 服务必须使用 Schema。GraphQL Schema 定义了如何从服务器请求和返回数据，并由 GraphQL SDL 控制。
1、概览 Keycloak 是一个开源的身份和访问管理解决方案。在测试阶段，禁用 Keycloak 可能有助于专注于业务测试。而且在测试环境中可能没有 Keycloak 服务器。
本文将带你了解如何禁用 Keycloak starter 的配置，以及如何在项目中启用 Spring Security 后如何对其进行修改。
2、在非 Spring Security 环境下禁用 Keycloak 我们首先来看看如何在不使用 Spring Security 的应用中禁用 Keycloak。
2.1、应用设置 首先，添加 spring-boot-starter-oauth2-client 依赖。
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-oauth2-client</artifactId> </dependency> 此外，还需要添加 spring-boot-starter-oauth2-resource-server 依赖。它将允许我们使用 Keycloak 服务器验证 JWT Token：
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-oauth2-resource-server</artifactId> </dependency> 接下来，在 application.properties 中添加 Keycloak 服务器的配置：
spring.security.oauth2.client.registration.keycloak.client-id=login-app spring.security.oauth2.client.registration.keycloak.authorization-grant-type=authorization_code spring.security.oauth2.client.registration.keycloak.scope=openid spring.security.oauth2.client.provider.keycloak.issuer-uri= http://localhost:8080/realms/SpringBootKeycloak spring.security.oauth2.client.provider.keycloak.user-name-attribute=preferred_username spring.security.oauth2.resourceserver.jwt.issuer-uri=http://localhost:8080/realms/SpringBootKeycloak 最后，添加 UserController 来检索用户：
@RestController @RequestMapping("/users") public class UserController { @GetMapping("/{userId}") public User getCustomer(@PathVariable Long userId) { return new User(userId, "John", "Doe"); } } 2.
本文将会带你了解在 Spring Boot 中如何使用 Spring Security、JWT 和 MySQL 数据库实现基于 Token 的身份认证。
JWT （JSON Web Token）概览 JWT 是 JSON Web Token 的缩写，是一种安全地在各方之间传输信息的开放标准。它是一种紧凑、自包含的数据传输方法，通常用于客户端和服务器之间的数据传输。
JWT 通常用于认证和授权，服务器通过验证 JWT 中包含的数字签名来验证用户。
JWT 由三部分组成：Header、Payload 和 Signature（签名）。
Header 包含 Token 类型和 Token 签名算法的元数据。 Payload 包含关于被验证用户或实体的声明（Claim）或陈述。这些声明可包括用户 ID、用户名或电子邮件地址等信息。 Signature（签名）使用秘钥和 Header 及 Payload 生成，以确保 JWT 的完整性。 使用 JWT 的一个好处是它们是无状态的，这意味着服务器无需跟踪用户的身份认证状态。这可以提高可扩展性和性能。此外，JWT 可以在不同的域和服务中使用，只要它们共享相同的秘钥来验证签名即可。
Spring Security 概览 Spring Security 是一个提供身份认证、授权和防护常见攻击的框架。它为确保 Web 和响应式应用程序的安全提供一流的支持，是保护基于 Spring 的应用程序的事实标准。
Spring Security 用于保护 Web 应用程序、REST API 和微服务的安全，为身份认证和授权提供内置支持。
数据库表结构 添加 Maven 依赖 添加如下依赖到 Spring Boot 项目：
1、概览 本文将会带你了解如何使用 @ExceptionHandler 和 @ControllerAdvice 全局处理 Spring Security 异常。
Controller Advice 是一种拦截器，常用于处理全局异常。
2、Spring Security 异常 Spring Security 核心异常（如 AuthenticationException 和 AccessDeniedException）属于运行时异常。由于这些异常是由 DispatcherServlet 后面的 Authentication Filter 在调用 Controller 方法之前抛出的，因此 @ControllerAdvice 无法捕获这些异常。
通过添加自定义 Filter 和构建响应体，可以直接处理 Spring Security 异常。要通过@ExceptionHandler 和 @ControllerAdvice 在全局级别处理这些异常，需要自定义 AuthenticationEntryPoint 的实现。AuthenticationEntryPoint 用于发送 HTTP 响应，要求客户端提供凭证。虽然已经有多个内置实现，但是我们仍然需要自己实现，以发送自定义响应。
首先，让我们看看如何在不使用 @ExceptionHandler 的情况下全局处理 Security 异常。
3、不使用 @ExceptionHandler Spring Security 异常是从 AuthenticationEntryPoint 开始的。让我们编写一个 AuthenticationEntryPoint 的实现，用于拦截 Security 异常。
3.1、配置 AuthenticationEntryPoint 实现 AuthenticationEntryPoint 并覆写 commence() 方法：
@Component("customAuthenticationEntryPoint") public class CustomAuthenticationEntryPoint implements AuthenticationEntryPoint { @Override public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException { RestError re = new RestError(HttpStatus.
图片上传是现代应用中非常常见的一种功能，也是风险比较高的一个地方。恶意用户可能会上传一些病毒、木马。这些东西不仅严重威胁服务器的安全还浪费了带宽，磁盘等资源。所以，在图片上传的接口中，一定要对用户上传的文件进行严格的校验。
本文介绍了 2 种对图片文件进行验证的方法可供你参考。
文件后缀校验 通过文件后缀（也就是文件扩展名，通常用于表示文件的类型），进行文件类型校验这是最常见的做法。
图片文件的后缀类型有很多，常见的只有：jpg、jpeg、gif、png、webp。我们可以在配置或者代码中定义一个“允许上传的图片后缀”集合，用于校验用户上传的图片文件。
package cn.springdoc.demo.web.controller; import java.io.IOException; import java.nio.file.Files; import java.nio.file.Path; import java.nio.file.Paths; import java.util.Set; import org.springframework.http.MediaType; import org.springframework.http.ResponseEntity; import org.springframework.web.bind.annotation.PostMapping; import org.springframework.web.bind.annotation.RequestMapping; import org.springframework.web.bind.annotation.RequestParam; import org.springframework.web.bind.annotation.RestController; import org.springframework.web.multipart.MultipartFile; @RestController @RequestMapping("/upload") public class UploadController { // 允许上传的图片类型的后缀集合 static final Set<String> imageSuffix = Set.of("jpg", "jpeg", "gif", "png", "webp"); @PostMapping(consumes = MediaType.MULTIPART_FORM_DATA_VALUE) public ResponseEntity<String> upload (@RequestParam("file") MultipartFile file ) throws IllegalStateException, IOException{ // 文件的原始名称 String fileName = file.getOriginalFilename(); if (fileName == null) { return ResponseEntity.
