旅游网站开发说明书施工企业安全生产管理规范

张

张建站

2026/4/10 1:38:49

10分钟阅读

旅游网站开发说明书,施工企业安全生产管理规范,便利的响应式网站建设,深圳企业网站建设怎么做SpringBoot拦截器进阶#xff1a;自定义RequestWrapper实现全局参数捕获与日志记录在构建现代企业级应用时#xff0c;接口的透明度和可观测性变得前所未有的重要。想象一下#xff0c;一个线上服务突然出现异常#xff0c;你收到的报警信息仅仅是“接口500错误”#xf…SpringBoot拦截器进阶自定义RequestWrapper实现全局参数捕获与日志记录在构建现代企业级应用时接口的透明度和可观测性变得前所未有的重要。想象一下一个线上服务突然出现异常你收到的报警信息仅仅是“接口500错误”而没有任何关于“谁”、“用什么数据”、“触发了什么”的上下文。排查过程无异于大海捞针耗费大量时间在日志的海洋里寻找蛛丝马迹。对于使用SpringBoot框架的开发者而言实现一套高效、无侵入的请求参数全局捕获与日志记录机制是提升系统可维护性和快速排障能力的关键一步。这不仅仅是打印一行日志那么简单它涉及到对HTTP请求生命周期的深入理解以及对流式数据处理的一次性读取问题的巧妙规避。本文将带你深入SpringBoot的请求处理腹地从零开始构建一个基于自定义HttpServletRequestWrapper的解决方案确保无论是GET的查询字符串还是POST的JSON体甚至是文件上传所有请求参数都能被安全、完整地捕获并无缝集成到你的日志与监控体系中。1. 理解请求参数捕获的挑战与核心原理在Spring MVC的架构中一个HTTP请求从到达服务器到被控制器方法处理会经过一条由过滤器Filter、拦截器Interceptor和AOP切面构成的“处理链”。我们通常希望在请求进入业务逻辑之前在拦截器或过滤器中记录下请求的详细信息包括所有参数。然而这里有一个经典的陷阱HTTP请求体Request Body的流只能被读取一次。HttpServletRequest的getInputStream()或getReader()方法返回的流一旦被读取其内部指针就会移动到底部。如果在过滤器或拦截器中率先读取了请求体以记录日志那么当请求继续传递到Spring的DispatcherServlet并最终到达你的RequestBody注解的参数绑定时Spring会发现流已经结束从而无法获取到任何数据导致绑定失败。这就是为什么直接调用request.getInputStream()进行日志记录会“破坏”后续业务逻辑的原因。解决这个问题的核心思路是将只能读取一次的流转换成可以反复读取的数据副本。这正是HttpServletRequestWrapper这个设计模式大显身手的地方。HttpServletRequestWrapper是Servlet规范提供的一个装饰器类它包装了原始的HttpServletRequest对象允许我们重写其部分方法。我们的策略是在请求生命周期的早期如一个Filter中用自定义的RequestWrapper替换掉原始的Request对象。在这个自定义Wrapper的getInputStream()方法中我们首次读取流时将数据缓存到内存如字节数组中。此后任何代码包括日志记录器和Spring MVC调用getInputStream()我们都返回一个基于这个缓存字节数组重新构造的流。这样流就被“复制”了实现了多次读取。下表对比了直接读取与使用Wrapper方案的关键差异对比项直接读取请求体使用自定义 RequestWrapper对后续处理的影响导致控制器无法获取请求体参数无影响控制器可正常获取参数数据可重复读性否流只能读一次是基于内存缓存可多次读取实现复杂度简单但破坏性大中等需理解包装器模式适用场景仅用于无需请求体的端点生产环境全局日志、审计、签名验证等性能开销无额外开销有轻微的内存复制开销注意缓存整个请求体到内存意味着对超大请求如文件上传需要谨慎处理。在实际应用中通常会对请求大小进行限制或针对特定内容类型如multipart/form-data跳过请求体缓存。2. 构建可重复读的自定义RequestWrapper理论清晰后我们开始动手实现。这个自定义Wrapper需要完成的核心任务是拦截对getInputStream()和getReader()的调用返回一个基于缓存数据的流。首先我们创建一个RepeatableReadRequestWrapper类package com.yourcompany.web.wrapper; import javax.servlet.ReadListener; import javax.servlet.ServletInputStream; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletRequestWrapper; import java.io.*; import java.util.Collections; import java.util.Map; /** * 可重复读取HTTP请求体的包装器。 * 解决在Filter/Interceptor中读取请求体后Controller中RequestBody获取不到数据的问题。 */ public class RepeatableReadRequestWrapper extends HttpServletRequestWrapper { private final byte[] cachedBody; /** * 构造方法初始化时读取并缓存请求体。 * param request 原始的HttpServletRequest对象 * throws IOException 当读取请求流发生错误时抛出 */ public RepeatableReadRequestWrapper(HttpServletRequest request) throws IOException { super(request); // 读取原始请求的输入流并转换为字节数组缓存 ByteArrayOutputStream byteArrayOutputStream new ByteArrayOutputStream(); InputStream inputStream request.getInputStream(); byte[] buffer new byte[1024]; int bytesRead; while ((bytesRead inputStream.read(buffer)) ! -1) { byteArrayOutputStream.write(buffer, 0, bytesRead); } this.cachedBody byteArrayOutputStream.toByteArray(); } /** * 重写getInputStream返回一个基于缓存字节数组的ServletInputStream。 */ Override public ServletInputStream getInputStream() { ByteArrayInputStream byteArrayInputStream new ByteArrayInputStream(cachedBody); return new ServletInputStream() { Override public boolean isFinished() { return byteArrayInputStream.available() 0; } Override public boolean isReady() { return true; } Override public void setReadListener(ReadListener readListener) { // 对于同步处理此方法通常无需实现 throw new UnsupportedOperationException(不支持异步读取); } Override public int read() { return byteArrayInputStream.read(); } }; } /** * 重写getReader确保其也使用我们缓存的流。 */ Override public BufferedReader getReader() { return new BufferedReader(new InputStreamReader(this.getInputStream(), getCharacterEncoding())); } /** * 获取缓存的请求体字节数组。 * return 请求体字节数组 */ public byte[] getCachedBody() { return cachedBody; } /** * 一个便捷方法尝试将缓存的请求体解析为字符串。 * 通常用于记录日志。 * return 请求体字符串解析失败时返回空字符串 */ public String getCachedBodyAsString() { try { return new String(cachedBody, this.getCharacterEncoding()); } catch (UnsupportedEncodingException e) { return new String(cachedBody); } } }这段代码的关键点在于构造函数和重写的getInputStream()方法构造函数在对象创建时立即将原始请求的输入流全部读取到内部的byte[] cachedBody中。这是一个“提前消费”的动作。getInputStream()每次被调用时都创建一个新的ByteArrayInputStream它指向我们缓存的cachedBody。这样无论调用多少次每次都能获得一个全新的、从数据开头读取的流。提示在实际项目中你可能会考虑使用Apache Commons IO的IOUtils.toByteArray()或Spring Core的StreamUtils.copyToByteArray()来简化流的复制操作使代码更简洁。3. 通过过滤器将包装器植入请求链有了包装器我们需要一个“钩子”在请求处理的最早期将其安装上。Servlet规范中的Filter是最佳位置因为它执行在Spring MVC框架之前。我们创建一个RequestCachingFilterpackage com.yourcompany.web.filter; import com.yourcompany.web.wrapper.RepeatableReadRequestWrapper; import org.springframework.core.annotation.Order; import org.springframework.stereotype.Component; import org.springframework.util.StringUtils; import javax.servlet.*; import javax.servlet.http.HttpServletRequest; import java.io.IOException; /** * 请求缓存过滤器。 * 该过滤器会检查请求对于需要记录日志或审计的请求将其替换为可重复读的包装器。 * Order 注解确保过滤器执行顺序靠前。 */ Component Order(Integer.MIN_VALUE 10) // 确保在Spring Security等关键过滤器之后但在业务逻辑之前执行 public class RequestCachingFilter implements Filter { Override public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException { HttpServletRequest httpServletRequest (HttpServletRequest) servletRequest; // 判断是否需要包装通常所有请求都需要但可以排除文件上传等特定类型 String contentType httpServletRequest.getContentType(); boolean shouldWrap true; if (StringUtils.hasText(contentType) contentType.toLowerCase().contains(multipart/form-data)) { // 对于文件上传请求通常不缓存整个请求体避免内存溢出 // 这类请求的参数可以通过request.getParameter()获取文件流则单独处理 shouldWrap false; } if (shouldWrap) { // 使用自定义包装器替换原始请求 RepeatableReadRequestWrapper wrappedRequest new RepeatableReadRequestWrapper(httpServletRequest); // 将包装后的请求继续传递 filterChain.doFilter(wrappedRequest, servletResponse); } else { // 对于不需要包装的请求直接传递原始请求 filterChain.doFilter(servletRequest, servletResponse); } } Override public void init(FilterConfig filterConfig) { // 初始化逻辑如果需要的话 } Override public void destroy() { // 清理逻辑如果需要的话 } }这个过滤器的作用就像一个“交换机”。对于大多数请求如application/json,application/x-www-form-urlencoded它创建我们的RepeatableReadRequestWrapper实例并替换掉链中的原始Request。对于multipart/form-data文件上传为了避免将可能很大的文件内容全部缓存在内存中我们选择跳过包装直接放行。文件上传的参数通常可以通过request.getParameter()获取而文件流本身一般也不适合作为普通日志内容记录。4. 在拦截器中实现全局参数捕获与日志记录现在请求已经被我们“改造”过了无论在链路的哪个环节都可以安全地读取请求体。接下来我们在Spring的拦截器Interceptor中实现参数捕获和日志记录。拦截器相比Filter能更紧密地集成Spring的上下文更容易获取到Handler信息。首先定义一个日志记录的切面或工具类但这里我们选择在拦截器中直接实现以保持逻辑集中。package com.yourcompany.web.interceptor; import com.yourcompany.web.wrapper.RepeatableReadRequestWrapper; import com.fasterxml.jackson.databind.ObjectMapper; import org.slf4j.Logger; import org.slf4j.LoggerFactory; import org.springframework.stereotype.Component; import org.springframework.web.servlet.HandlerInterceptor; import org.springframework.web.util.ContentCachingRequestWrapper; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; import java.util.*; import java.util.stream.Collectors; /** * 全局请求日志拦截器。 * 记录每个请求的入参、URL、方法、客户端IP等信息。 */ Component public class RequestLoggingInterceptor implements HandlerInterceptor { private static final Logger log LoggerFactory.getLogger(REQUEST-LOGGER); private final ObjectMapper objectMapper new ObjectMapper(); Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { // 只有在我们包装过的请求上才安全地读取body if (request instanceof RepeatableReadRequestWrapper) { RepeatableReadRequestWrapper wrappedRequest (RepeatableReadRequestWrapper) request; MapString, Object paramMap extractAllParameters(wrappedRequest); // 构建日志信息 String requestId UUID.randomUUID().toString(); String clientIp getClientIp(request); String method request.getMethod(); String uri request.getRequestURI(); String queryString request.getQueryString(); String fullUrl queryString null ? uri : uri ? queryString; // 使用JSON格式记录日志便于后续日志系统如ELK解析 MapString, Object logEntry new LinkedHashMap(); logEntry.put(requestId, requestId); logEntry.put(timestamp, new Date()); logEntry.put(clientIp, clientIp); logEntry.put(method, method); logEntry.put(url, fullUrl); logEntry.put(parameters, paramMap); logEntry.put(userAgent, request.getHeader(User-Agent)); // 输出日志 log.info(objectMapper.writeValueAsString(logEntry)); // 将requestId放入请求属性方便后续链路追踪 request.setAttribute(requestId, requestId); } else { // 对于未包装的请求如文件上传只记录基础信息 log.info(Unwrapped request: {} {} from {}, request.getMethod(), request.getRequestURI(), getClientIp(request)); } return true; // 继续执行后续拦截器和控制器 } /** * 提取所有请求参数包括Query String和Body。 * param request 包装后的HttpServletRequest * return 合并后的参数Map */ private MapString, Object extractAllParameters(HttpServletRequest request) { MapString, Object paramMap new LinkedHashMap(); // 1. 获取Query Parameters (GET请求或URL中的参数) EnumerationString paramNames request.getParameterNames(); while (paramNames.hasMoreElements()) { String paramName paramNames.nextElement(); String[] values request.getParameterValues(paramName); paramMap.put(paramName, values.length 1 ? values[0] : Arrays.asList(values)); } // 2. 获取Body Parameters (POST, PUT等) // 注意如果Content-Type是application/x-www-form-urlencoded参数也会被request.getParameter捕获 // 所以这里主要处理application/json等格式。 String contentType request.getContentType(); if (contentType ! null contentType.toLowerCase().contains(application/json)) { if (request instanceof RepeatableReadRequestWrapper) { RepeatableReadRequestWrapper wrappedReq (RepeatableReadRequestWrapper) request; String bodyString wrappedReq.getCachedBodyAsString(); if (!bodyString.trim().isEmpty()) { try { // 尝试将JSON body解析为Map MapString, Object bodyMap objectMapper.readValue(bodyString, Map.class); // 注意这里简单地将body参数合并如果query和body有同名参数body会覆盖query。 // 可根据实际需求调整合并策略。 paramMap.putAll(bodyMap); } catch (Exception e) { // 解析失败将原始字符串作为特定键的值存入 paramMap.put(_rawBody, bodyString); } } } } // 可以在此扩展其他Content-Type的处理如XML等 return paramMap; } /** * 获取客户端真实IP地址。 * param request HttpServletRequest * return 客户端IP */ private String getClientIp(HttpServletRequest request) { String ip request.getHeader(X-Forwarded-For); if (ip null || ip.isEmpty() || unknown.equalsIgnoreCase(ip)) { ip request.getHeader(Proxy-Client-IP); } if (ip null || ip.isEmpty() || unknown.equalsIgnoreCase(ip)) { ip request.getHeader(WL-Proxy-Client-IP); } if (ip null || ip.isEmpty() || unknown.equalsIgnoreCase(ip)) { ip request.getHeader(HTTP_CLIENT_IP); } if (ip null || ip.isEmpty() || unknown.equalsIgnoreCase(ip)) { ip request.getHeader(HTTP_X_FORWARDED_FOR); } if (ip null || ip.isEmpty() || unknown.equalsIgnoreCase(ip)) { ip request.getRemoteAddr(); } // 对于通过多个代理的情况第一个IP为客户端真实IP if (ip ! null ip.contains(,)) { ip ip.split(,)[0].trim(); } return ip; } }为了让这个拦截器生效我们需要将其注册到Spring MVC的拦截器注册表中package com.yourcompany.web.config; import com.yourcompany.web.interceptor.RequestLoggingInterceptor; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Configuration; import org.springframework.web.servlet.config.annotation.InterceptorRegistry; import org.springframework.web.servlet.config.annotation.WebMvcConfigurer; Configuration public class WebMvcConfig implements WebMvcConfigurer { Autowired private RequestLoggingInterceptor requestLoggingInterceptor; Override public void addInterceptors(InterceptorRegistry registry) { // 注册拦截器并定义拦截路径和排除路径 registry.addInterceptor(requestLoggingInterceptor) .addPathPatterns(/api/**) // 拦截所有/api开头的请求 .excludePathPatterns(/api/health, /api/docs/**); // 排除健康检查和API文档端点 } }5. 生产环境下的优化与注意事项将上述基础方案部署到生产环境前我们必须考虑性能、安全性和可靠性。这里有几个关键的优化点和坑需要避开。1. 性能考量控制缓存大小与异步日志缓存整个请求体到内存对于大请求如超过10MB的JSON会带来显著的内存压力和GC开销。我们必须设置一个合理的阈值。// 在RepeatableReadRequestWrapper构造函数中增加大小检查 public RepeatableReadRequestWrapper(HttpServletRequest request) throws IOException { super(request); int contentLength request.getContentLength(); int maxCacheSize 1024 * 1024; // 1MB if (contentLength maxCacheSize) { // 对于超大的请求不进行缓存或者抛出异常 // 可以选择只记录元数据不记录body this.cachedBody new byte[0]; // 或者直接抛出自定义异常由全局异常处理器处理 // throw new RequestTooLargeException(Request body exceeds limit of maxCacheSize bytes); } else { // 正常缓存逻辑... } }此外日志I/O操作本身可能阻塞请求线程。考虑使用异步日志框架如Logback的AsyncAppender或将日志发送到消息队列如Kafka进行异步处理。2. 敏感信息脱敏记录所有参数可能泄露密码、身份证号、令牌等敏感信息。必须在记录前进行脱敏处理。// 在extractAllParameters方法中或之后添加脱敏逻辑 private MapString, Object maskSensitiveData(MapString, Object paramMap) { MapString, Object maskedMap new LinkedHashMap(paramMap); ListString sensitiveKeys Arrays.asList(password, pwd, creditCard, idCard, token, authorization); for (String key : sensitiveKeys) { if (maskedMap.containsKey(key)) { maskedMap.put(key, ***MASKED***); } // 也可以处理嵌套在对象中的敏感字段这里需要递归处理 } return maskedMap; }3. 与现有监控体系集成捕获到的参数和请求信息不应只存在于日志文件。可以将其推送到你的APM应用性能监控系统中例如在拦截器afterCompletion方法中记录响应信息和耗时用于统计接口性能。将requestId注入到MDCMapped Diagnostic Context确保该请求的所有后续日志都带有这个ID实现链路追踪。将关键指标如请求量、平均耗时、错误率通过Micrometer暴露给Prometheus。Override public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) { Long startTime (Long) request.getAttribute(startTime); if (startTime ! null) { long duration System.currentTimeMillis() - startTime; int status response.getStatus(); // 记录到监控指标 Metrics.counter(http.requests.total, uri, request.getRequestURI(), method, request.getMethod(), status, String.valueOf(status)).increment(); Metrics.timer(http.request.duration, uri, request.getRequestURI()).record(duration, TimeUnit.MILLISECONDS); } // 清理MDC中的requestId MDC.remove(requestId); }4. 关于Spring自带的ContentCachingRequestWrapper你可能注意到Spring提供了一个ContentCachingRequestWrapper。它的目的类似但有一个重要区别它通常是在请求被处理之后即在DispatcherServlet渲染视图之后才将内容填充到缓存中。这意味着在拦截器的preHandle阶段它的缓存是空的。因此对于需要在请求处理前读取body的场景我们自定义的Wrapper是更可靠的选择。5. 线程安全与内存泄漏我们的Wrapper将数据缓存在实例变量中每个请求都有自己的Wrapper实例因此是线程安全的。但要确保在过滤器中创建Wrapper时异常处理得当避免请求链中断。同时缓存的数据会在请求处理结束后被GC回收正常情况下不会造成内存泄漏。在我经历的一个电商项目中正是由于初期忽略了请求体不可重复读的问题导致上线后所有带有RequestBody的接口监控日志全是空的。在紧急回滚并引入这套自定义Wrapper方案后不仅日志恢复了我们还利用捕获到的参数数据快速定位了几起由前端异常传参导致的业务故障平均故障定位时间MTTR缩短了70%以上。这套方案已经成为我们后续所有SpringBoot项目的标准配置之一。