@InitBinder

@InitBinder 用于初始化 WebDataBinder。它可以帮助你自定义请求参数到模型对象的绑定规则，或者自定义字符串到特定类型的转换逻辑。

基本用法

Java

@Controller
public class FormController {

	@InitBinder
	public void initBinder(WebDataBinder binder) {
		// 自定义日期格式转换
		SimpleDateFormat dateFormat = new SimpleDateFormat("yyyy-MM-dd");
		dateFormat.setLenient(false);
		binder.registerCustomEditor(Date.class, new CustomDateEditor(dateFormat, false));
	}
}

Kotlin

@Controller
class FormController {

	@InitBinder
	fun initBinder(binder: WebDataBinder) {
		val dateFormat = SimpleDateFormat("yyyy-MM-dd")
		dateFormat.isLenient = false
		binder.registerCustomEditor(Date::class.java, CustomDateEditor(dateFormat, false))
	}
}

核心功能

1. 数据过滤：通过 binder.setAllowedFields(...) 设置允许绑定的字段，防止黑客通过提交额外字段修改敏感数据。
2. 类型转换：注册 PropertyEditor 或 Converter。
3. 结果校验：注册自定义的 Validator。

模型设计建议

虽然 @InitBinder 可以通过 allowedFields 保护数据，但更好的做法是：

• 专用模型对象：使用专门的 Form-backing Object (也叫 DTO)，不要直接将 JPA/Hibernate 实体类暴露在 Web 层。
• 构造函数绑定：在 Spring 6+ 中，推荐使用记录类（Record）或构造函数绑定，这样不符合要求的参数会被直接忽略。

---

补充教学

1. 局部与全局

• 局部：定义在普通 @Controller 中，只对该类生效。
• 全局：定义在 @ControllerAdvice 中，对所有控制器生效。 优先级：全局规则先运行，局部规则后运行。

2. 安全防范：恶意参数注入

假设你的 User 对象有 isAdmin 字段。如果前端恶意传了一个 ?isAdmin=true，默认的绑定机制可能会直接修改它。 使用 @InitBinder 可以轻松封死这种漏洞：

@InitBinder
public void initBinder(WebDataBinder binder) {
    binder.setDisallowedFields("isAdmin", "id");
}

3. Spring 6.1+ 的新特性：声明式绑定

如果你在 @InitBinder 中设置了 binder.setDeclarativeBinding(true)，Spring 将主要依赖构造函数绑定。除非你明确配置了 allowedFields，否则传统的“通过 Setter 修改属性”的模式将被禁用。这是一项提升系统安全性的重要改进。