Jackson: Wie man eine Feldserialisierung verhindert

Ich habe eine Entitätsklasse mit einem Passwortfeld:

class User {
    private String password;

    //setter, getter..
}

Ich möchte, dass dieses Feld während der Serialisierung übersprungen wird. Aber es sollte immer noch in der Lage sein, zu deserialisieren. Dies ist erforderlich, damit der Client mir ein neues Passwort senden kann, aber das aktuelle nicht lesen kann.

Wie schaffe ich das mit Jackson?

Sie können es als markieren @JsonIgnore.

Mit 1.9 können Sie @JsonIgnorefür Getter, @JsonPropertyfür Setter hinzufügen , damit es deserialisiert, aber nicht serialisiert wird.

Dies funktioniert für mich, um zu veranschaulichen, was StaxMan gesagt hat

private String password;

@JsonIgnore
public String getPassword() {
    return password;
}

@JsonProperty
public void setPassword(String password) {
    this.password = password;
}

Der einfache Weg ist, Ihre Getter und Setter mit Anmerkungen zu versehen.

Hier ist das ursprüngliche Beispiel, das geändert wurde, um das Nur-Text-Kennwort auszuschließen, aber dann eine neue Methode mit Anmerkungen zu versehen, die nur das Kennwortfeld als verschlüsselten Text zurückgibt.

class User {

    private String password;

    public void setPassword(String password) {
        this.password = password;
    }

    @JsonIgnore
    public String getPassword() {
        return password;
    }

    @JsonProperty("password")
    public String getEncryptedPassword() {
        // encryption logic
    }
}

Ab Jackson 2.6 kann eine Eigenschaft als schreibgeschützt oder schreibgeschützt markiert werden. Es ist einfacher als das Hacken der Anmerkungen auf beiden Accessoren und bewahrt alle Informationen an einem Ort auf:

public class User {
    @JsonProperty(access = JsonProperty.Access.WRITE_ONLY)
    private String password;
}

Abgesehen davon @JsonIgnoregibt es noch einige andere Möglichkeiten:

• Verwenden Sie JSON-Ansichten , um Felder bedingt herauszufiltern (standardmäßig nicht für die Deserialisierung verwendet; in 2.0 ist verfügbar, Sie können jedoch eine andere Ansicht für die Serialisierung und Deserialisierung verwenden).
• @JsonIgnoreProperties auf Klasse kann nützlich sein

transientist die Lösung für mich. Vielen Dank! Es ist in Java integriert und verhindert, dass Sie eine weitere Framework-spezifische Anmerkung hinzufügen.

Man sollte sich fragen, warum Sie eine öffentliche Getter-Methode für das Passwort wünschen. Der Ruhezustand oder ein anderes ORM-Framework funktioniert mit einer privaten Getter-Methode. Um zu überprüfen, ob das Passwort korrekt ist, können Sie verwenden

public boolean checkPassword(String password){
  return this.password.equals(anyHashingMethod(password));
}

Jackson hat eine Klasse namens SimpleBeanPropertyFilter, mit deren Hilfe Felder während der Serialisierung und Deserialisierung gefiltert werden können. nicht global. Ich denke, das wolltest du.

@JsonFilter("custom_serializer")
class User {
    private String password;

    //setter, getter..
}

Dann in Ihrem Code:

String[] fieldsToSkip = new String[] { "password" };

ObjectMapper mapper = new ObjectMapper();

final SimpleFilterProvider filter = new SimpleFilterProvider();
filter.addFilter("custom_serializer",
            SimpleBeanPropertyFilter.serializeAllExcept(fieldsToSkip));

mapper.setFilters(filter);

String jsonStr = mapper.writeValueAsString(currentUser);

Dadurch wird verhindert, dass das passwordFeld serialisiert wird. Außerdem können Sie passwordFelder so wie sie sind deserialisieren . Stellen Sie einfach sicher, dass keine Filter auf das ObjectMapper-Objekt angewendet werden.

ObjectMapper mapper = new ObjectMapper();
User user = mapper.readValue(yourJsonStr, User.class);    // user object does have non-null password field

Variable setzen als

@JsonIgnore

Dadurch kann die Variable vom json serializer übersprungen werden