專案中，通常使用較多的是前端的校驗，比如頁面中js校驗以及form表單使用bootstrap校驗。然而對於安全要求較高點建議在服務端進行校驗。

服務端校驗：

1. 控制層controller：校驗頁面請求的引數的合法性。在服務端控制層controller校驗，不區分客戶端型別。
2. 業務層service（使用較多）：主要校驗關鍵業務引數，僅限於service介面中使用的引數。
3. 持久層dao：一般是不校驗的。

環境整合

1、新增jar包：
此處使用Hibernate-validator實現（版本：hibernate-validator-4.3.0.Final-dist.zip），將如下jar包新增到classpath（WEB-INF/lib下即可）：
dist/lib/required/validation-api-1.0.0.GA.jar JSR-303規範API包
dist/hibernate-validator-4.3.0.Final.jar Hibernate 參考實現

2、在Spring配置總新增對JSR-303驗證框架的支援

<!-- 校驗錯誤資訊配置檔案 -->
    <bean id="messageSource"
        class="org.springframework.context.support.ReloadableResourceBundleMessageSource">
        <!-- 資原始檔名-->
        <property name="basenames">   
         <list>    
            <value
 
>classpath:CustomValidationMessages</value>
         </list>   
        </property>
        <!-- 資原始檔編碼格式 -->
        <property name="fileEncodings" value="utf-8" />
        <!-- 對資原始檔內容快取時間，單位秒 -->
        <property name="cacheSeconds" value="120" />
    </bean
 
>

<!-- 校驗器 -->
    <bean id="validator"
        class="org.springframework.validation.beanvalidation.LocalValidatorFactoryBean">
        <!-- hibernate校驗器-->
        <property name="providerClass" value="org.hibernate.validator.HibernateValidator" />
        <!-- 指定校驗使用的資原始檔，在檔案中配置校驗錯誤資訊，如果不指定則預設使用classpath下的ValidationMessages.properties -->
        <property name="validationMessageSource" ref="messageSource" />
    </bean>

自動註冊validator

<mvc:annotation-driven conversion-service="conversionService" validator="validator">
    </mvc:annotation-driven>

例子說明

例子一：

import javax.validation.constraints.NotNull;  
public class UserModel {  
    @NotNull(message="{username.not.empty}")  
    private String username;  
}  

通過@NotNull指定此username欄位不允許為空，當驗證失敗時將從之前指定的messageSource中獲取“username.not.empty”對於的錯誤資訊，此處只有通過“{錯誤訊息鍵值}”格式指定的才能從messageSource獲取。

@Controller  
public class HelloWorldController {  
    @RequestMapping("/validate/hello")  
    public String validate(@Valid @ModelAttribute("user") UserModel user, Errors errors) {  

        if(errors.hasErrors()) {  
            return "validate/error";  
        }  
        return "redirect:/success";  
    }  
} 

通過在命令物件上註解@Valid來告訴Spring MVC此命令物件在繫結完畢後需要進行JSR-303驗證，如果驗證失敗會將錯誤資訊新增到errors錯誤物件中。

驗證失敗後需要展示的頁面（/WEB-INF/jsp/error.jsp）

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>  
<%@taglib prefix="form" uri="http://www.springframework.org/tags/form" %>  

<form:form commandName="user">  
    <form:errors path="*" cssStyle="color:red"></form:errors><br/>  
</form:form>  

在瀏覽器位址列中輸入http://localhost:8080/validate/hello，即沒有username資料，請求後將直接到驗證失敗介面並顯示錯誤訊息“使用者名稱不能為空”，如果請求時帶上“?username=zhang”將重定向到成功頁面。

例子二：

public class Items {
    private Integer id;
    @Size(min=1,max=20,message="{items.name.length.error}")
    private String name;

    @NotNull(message="{items.createtime.isNULL}")
    private Date createtime;

    省略set()和get()...
}

public String editItemsSubmit(Model model,  @Validated Items items, 
BindingResult bindingResult) throws Exception {
        if(bindingResult.hasErrors()){
            List<ObjectError> allErrors = bindingResult.getAllErrors();
            for(ObjectError objectError:allErrors) {
        System.out.println(objectError.getDefaultMessage());
            }

            //可以直接使用model將提交pojo回顯到頁面
            model.addAttribute("items",items);

            // 出錯重新到商品修改頁面
            return "items/editItems";
        }
        return "success";
    }

<table width="100%" border=1>
<tr>
    <td>商品名稱</td>
    <td><form:input type="text" path="items.name" value="${items.name }"/></td><form:errors path="items.name"/>
</tr>
<tr>
    <td>商品生產日期</td>
    <td><input type="text" name="createtime" value="<fmt:formatDate value="${items.createtime}" pattern="yyyy-MM-dd HH:mm:ss"/>"/></td>
</tr>

然後jsp頁面還是之前的頁面，並能顯示輸入不合法的並通過<form:errors path="items.name"/>顯示出來，這樣明顯更加簡單。

當我們配置了messageSource Bean時，預設將為驗證的物件自動生成如下錯誤訊息鍵：
驗證錯誤註解簡單類名.驗證物件名.欄位名
驗證錯誤註解簡單類名.欄位名
驗證錯誤註解簡單類名.欄位型別全限定類名
驗證錯誤註解簡單類名

使用的優先順序是：從高到低，即最前邊的具有最高的優先順序，而且以上所有預設的錯誤訊息鍵優先順序高於自定義的錯誤訊息鍵。

如測試用例
public String pattern(@Valid @ModelAttribute(“model”) PatternModel model, Errors errors)
將自動產生如下錯誤訊息鍵：
Pattern.model.value=驗證錯誤註解簡單類名.驗證物件名.欄位名
Pattern.value=驗證錯誤註解簡單類名.欄位名
Pattern.java.lang.String=驗證錯誤註解簡單類名.欄位型別全限定類名
Pattern=驗證錯誤註解簡單類名

內建的驗證約束註解如下表所示（摘自hibernate validator reference）：

此處只列出Hibernate Validator提供的大部分驗證約束註解，請參考hibernate validator官方文件瞭解其他驗證約束註解和進行自定義的驗證約束註解定義。