1. 为什么参数校验如此重要？
在开发Web应用时，参数校验就像是我们给系统设置的第一道安检门。想象一下，如果你运营一个电商网站，用户在下单时把商品数量填成了"abc"，而你的系统没有做任何校验就直接处理，结果会怎样？轻则订单异常，重则系统崩溃。我见过太多因为参数校验不严谨导致的线上事故，有些甚至造成了严重的数据混乱。
Spring Boot提供了多种参数校验方式，其中最常用的就是@RequestParam和JSR-303标准注解（如@NotBlank、@NotNull）。它们就像是两个性格迥异但配合默契的搭档，一个负责从请求中提取参数，一个负责验证参数的合法性。在实际项目中，如何让它们协同工作，又该如何根据场景选择合适的校验方式，这里面有不少门道。
2. @RequestParam的基本用法与特性
2.1 @RequestParam的核心功能
@RequestParam是Spring MVC中最常用的参数绑定注解之一。它的主要工作是从HTTP请求中提取查询参数或表单数据，并将其绑定到方法参数上。举个最简单的例子：
@GetMapping("/search") public String searchProducts(@RequestParam String keyword) { // 使用keyword进行搜索 return productService.search(keyword); }在这个例子中，如果用户访问/search?keyword=手机，Spring会自动把"手机"赋值给keyword参数。但这里有个潜在问题：如果用户直接访问/search不带keyword参数，Spring会抛出MissingServletRequestParameterException异常。
2.2 @RequestParam的进阶配置
@RequestParam有几个非常实用的属性可以配置：
required：指定参数是否必须，默认为truedefaultValue：当请求中没有对应参数时使用的默认值name或value：指定参数名称（当方法参数名与请求参数名不一致时使用）
比如我们可以这样改进上面的例子：
@GetMapping("/search") public String searchProducts( @RequestParam(required = false, defaultValue = "") String keyword) { // 现在即使不带keyword参数也能正常访问 return productService.search(keyword); }在实际项目中，我建议总是显式设置required属性，即使你要使用默认值true。这样代码的可读性会更好，其他开发者一眼就能明白这个参数是否是必须的。
3. JSR-303校验注解的威力
3.1 @NotNull与@NotBlank的区别
JSR-303提供了一系列标准校验注解，其中@NotNull和@NotBlank是最常用的两个：
@NotNull：验证对象是否为null，适用于任何类型@NotBlank：验证字符串是否为null或空字符串（即""或" "）
这里有个常见的误区：很多人以为@NotBlank也能用于非字符串类型。实际上，如果你在非字符串字段上使用@NotBlank，校验时会直接抛出异常。我在项目中就遇到过这样的坑，当时在一个Long类型的ID字段上错误地使用了@NotBlank，结果测试时直接报错。
3.2 其他常用校验注解
除了上述两个注解，JSR-303还提供了许多其他实用的校验注解：
@NotEmpty：验证集合、数组、Map或字符串不为空@Size：验证字符串、集合或数组的长度在指定范围内@Min/@Max：验证数字的最小/最大值@Pattern：验证字符串是否符合正则表达式@Email：验证字符串是否为有效的电子邮件地址
这些注解可以组合使用，为你的参数校验提供强大的支持。比如验证一个密码字段：
@NotBlank @Size(min = 8, max = 20) @Pattern(regexp = "^(?=.*[a-z])(?=.*[A-Z])(?=.*\\d).+$") private String password;这个组合表示密码必须：非空、长度8-20位、包含大小写字母和数字。
4. @RequestParam与校验注解的协同使用
4.1 基本协同模式
在实际开发中，我们经常需要同时使用@RequestParam和校验注解。比如一个用户注册接口：
@PostMapping("/register") public ResponseEntity<String> registerUser( @RequestParam @NotBlank String username, @RequestParam @Email String email, @RequestParam @Size(min = 8) String password) { // 业务逻辑处理 return ResponseEntity.ok("注册成功"); }这种组合方式既保证了参数必须存在于请求中（@RequestParam的默认行为），又验证了参数值的合法性（校验注解）。如果任何一个校验失败，Spring会抛出MethodArgumentNotValidException异常，我们可以通过全局异常处理器来捕获并返回友好的错误信息。
4.2 默认值处理的注意事项
当@RequestParam设置了defaultValue时，它与校验注解的交互需要特别注意：
@GetMapping("/list") public Page<Product> listProducts( @RequestParam(defaultValue = "1") @Min(1) int page, @RequestParam(defaultValue = "10") @Min(1) @Max(100) int size) { // 分页查询逻辑 }在这个例子中，即使请求中没有page或size参数，由于设置了默认值，@RequestParam不会报错。但默认值仍然要满足校验注解的要求。比如如果把@Min(1)改成@Min(2)，那么当使用默认值1时就会校验失败。
5. 校验失败时的错误处理
5.1 全局异常处理策略
在Spring Boot中，我们可以使用@ControllerAdvice来统一处理校验失败的情况：
@ControllerAdvice public class GlobalExceptionHandler { @ExceptionHandler(MethodArgumentNotValidException.class) public ResponseEntity<Map<String, String>> handleValidationExceptions( MethodArgumentNotValidException ex) { Map<String, String> errors = new HashMap<>(); ex.getBindingResult().getAllErrors().forEach(error -> { String fieldName = ((FieldError) error).getField(); String errorMessage = error.getDefaultMessage(); errors.put(fieldName, errorMessage); }); return ResponseEntity.badRequest().body(errors); } }这样处理后，当校验失败时，客户端会收到一个包含详细错误信息的响应，比如：
{ "username": "不能为空", "email": "必须是有效的电子邮件地址" }5.2 错误信息的国际化
在实际项目中，我们通常需要支持多语言错误信息。Spring Boot的校验框架天然支持国际化，只需要在resources目录下创建对应的messages.properties文件即可。例如：
NotBlank=字段不能为空 Email=请输入有效的电子邮件地址 Size=长度必须在{min}和{max}之间然后在@NotBlank等注解中指定message属性：
@NotBlank(message = "{NotBlank}") private String username;6. 实战中的最佳实践
6.1 何时使用@RequestParam单独校验
在以下场景中，单独使用@RequestParam可能更合适：
- 参数是可选的时候（设置
required = false） - 只需要简单验证参数是否存在，不需要验证内容时
- 需要设置默认值的时候
比如一个商品筛选接口：
@GetMapping("/products") public List<Product> filterProducts( @RequestParam(required = false) String category, @RequestParam(required = false, defaultValue = "0") @Min(0) int minPrice, @RequestParam(required = false, defaultValue = "10000") @Max(10000) int maxPrice) { // 筛选逻辑 }6.2 何时结合使用校验注解
在以下场景中，建议结合使用@RequestParam和校验注解：
- 需要验证参数内容的格式时（如邮箱、手机号）
- 需要限制参数的长度或范围时
- 需要确保字符串参数不仅存在而且非空时
比如用户更新个人资料的接口：
@PutMapping("/profile") public ResponseEntity<?> updateProfile( @RequestParam @NotBlank String nickname, @RequestParam @Pattern(regexp = "^1[3-9]\\d{9}$") String phone, @RequestParam @Size(max = 200) String bio) { // 更新逻辑 }6.3 性能考量
虽然参数校验会带来一定的性能开销，但在绝大多数应用中，这点开销可以忽略不计。相比之下，没有做好参数校验可能导致的安全问题和数据一致性问题要严重得多。不过，在一些超高并发的场景下，可以考虑：
- 将部分校验逻辑移到前端，减少不必要的后端请求
- 对于极其简单的校验（如非空检查），可以只用
@RequestParam(required = true) - 使用异步校验或批量校验来优化性能
7. 常见问题与解决方案
7.1 校验顺序问题
Spring Boot处理参数校验的顺序是：
- 先处理
@RequestParam的基本校验（如required检查） - 然后应用JSR-303校验注解
这意味着如果@RequestParam(required = true)的参数缺失，根本不会走到JSR-303校验那一步。这一点在调试时需要注意。
7.2 自定义校验注解
当内置的校验注解不能满足需求时，我们可以创建自定义校验注解。比如验证手机号：
@Target({ElementType.FIELD, ElementType.PARAMETER}) @Retention(RetentionPolicy.RUNTIME) @Constraint(validatedBy = PhoneNumberValidator.class) public @interface PhoneNumber { String message() default "无效的手机号码"; Class<?>[] groups() default {}; Class<? extends Payload>[] payload() default {}; } public class PhoneNumberValidator implements ConstraintValidator<PhoneNumber, String> { @Override public boolean isValid(String value, ConstraintValidatorContext context) { return value != null && value.matches("^1[3-9]\\d{9}$"); } }然后在Controller中就可以这样使用：
@PostMapping("/sendSms") public void sendSms(@RequestParam @PhoneNumber String phone) { // 发送短信逻辑 }7.3 集合参数的校验
校验集合或数组中的每个元素需要特殊处理。Spring Boot提供了@Valid注解来实现这一点：
@PostMapping("/batchCreate") public void batchCreateUsers(@RequestParam @Valid List<@NotBlank String> usernames) { // 批量创建用户 }注意这里的语法有点特殊，需要在List的泛型参数前加@Valid，在元素类型前加校验注解。
