JacksonJsonView动态脱敏实现解析

本文深入剖析了 Jackson 的 @JsonView 在字段级动态脱敏场景中的根本局限——它仅支持静态视图控制字段显隐，无法感知用户角色、租户或运行时权限上下文；文章明确指出常见误用（如强行结合自定义 Serializer）的技术陷阱及其线程安全与上下文缺失问题，并给出两种真正可行、生产就绪的解决方案：一是利用 @JsonView + 多重同名 @JsonGetter 方法，在 getter 内安全集成 Spring Security 上下文实现细粒度动态脱敏；二是倡导更清晰的架构实践——通过权限感知的专用 DTO（如 UserAdminDto/UserPublicDto）进行视图隔离与逻辑解耦，兼顾安全性、可维护性与性能。

JsonView 能不能直接做字段级权限脱敏

不能。JsonView 本质是视图标记，只控制字段是否序列化，不提供运行时条件判断能力——它不会因为你当前用户是管理员就多序列化 idCard，也不会因为角色是普通员工就自动把 salary 替换成 ***。它只能做到「这个字段在 AdminView 里出现，在 UserView 里不出现」，属于静态白名单机制。

为什么 @JsonView + 自定义 Serializer 是常见错误组合

很多人试图在 @JsonView 的基础上叠加 @JsonSerialize(using = SensitiveFieldSerializer.class)，结果发现：一旦字段被 @JsonView 排除，自定义 Serializer 根本不会执行；而只要它出现在视图中，Serializer 就无差别触发，无法感知当前请求的权限上下文。根本矛盾在于：Serializer 运行时拿不到 Spring Security 的 Authentication 或自定义的租户/角色信息。

• JsonView 解析发生在序列化前期，此时 Jackson 不持有任何 Spring 上下文
• @JsonSerialize 注解绑定的是类级别行为，无法按请求动态切换逻辑
• 强行把 SecurityContext 存进 ThreadLocal 再在 Serializer 里取，会破坏 Jackson 的线程安全性（尤其在 Netty 或异步 Servlet 场景下）

真正可行的方案：用 @JsonView 做结构隔离，用 @JsonGetter + 权限感知方法兜底

把敏感字段从实体直出改为「按需计算」：实体保留原始字段（如 idCardRaw），对外暴露一个 getter 方法，用 @JsonView 标记该方法，并在方法体内读取当前权限做脱敏决策。Jackson 会把方法返回值当字段序列化，且方法可自由调用 Spring Bean。

public class User {
    private String idCardRaw;

    @JsonView(AdminView.class)
    public String getIdCard() {
        return idCardRaw;
    }

    @JsonView(UserView.class)
    public String getIdCard() {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth != null && auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_ADMIN"))) {
            return idCardRaw;
        }
        return "***" + idCardRaw.substring(6, 10) + "****";
    }
}

• 必须为同一字段名写多个同名 getter，Jackson 会根据视图选择对应方法（注意：需开启 MapperFeature.OVERRIDE_PUBLIC_ACCESS_MODIFIERS）
• 方法内可注入 SecurityContext、RequestContextHolder 或自定义权限服务，完全可控
• 避免在 getter 里做重 IO 操作——脱敏是 CPU 密集型，不是 DB 查询，否则影响序列化吞吐

更干净的做法：用 @JsonUnwrapped + 动态 DTO 组装

彻底放弃在领域实体上塞权限逻辑。定义接口专属 DTO（如 UserPublicDto、UserAdminDto），用 @JsonView 标记 DTO 类，再通过构造函数或 Builder 按权限组装字段值。Jackson 序列化的是 DTO，实体只负责数据承载。

public class UserAdminDto {
    @JsonView(AdminView.class)
    public final String idCard;

    public UserAdminDto(User user) {
        this.idCard = user.getIdCardRaw(); // 直接暴露
    }
}

public class UserPublicDto {
    @JsonView(PublicView.class)
    public final String idCard;

    public UserPublicDto(User user) {
        this.idCard = maskIdCard(user.getIdCardRaw()); // 脱敏逻辑集中在此
    }
}

• DTO 构造时已知完整上下文（比如 Controller 层已鉴权完毕），可安全调用权限服务
• 避免实体污染，符合 DDD 的分层约束
• 如果字段多、视图多，建议用 MapStruct 自动生成 DTO 映射，而不是手写构造函数

最常被忽略的一点：@JsonView 的 Class 对象必须全局唯一且不可变。别用匿名内部类或每次 new 出来的 View 类，否则 Jackson 缓存失效，性能骤降。

以上就是《JacksonJsonView动态脱敏实现解析》的详细内容，更多关于的资料请关注golang学习网公众号！