Spring MVC, генерирующий объект поддержки формы из запроса?

Один из основных недостатков использования Spring MVC + hibernate заключается в том, что естественным подходом является использование объекта домена гибернации в качестве объекта поддержки для формы. Spring свяжет что-либо в запросе на основе имени по УМОЛЧАНИЮ. Это непреднамеренно включает такие вещи, как идентификатор или имя (обычно первичный ключ) или другие устанавливаемые управляемые свойства гибернации. Это также делает вас уязвимыми для инъекций формы.

Чтобы быть в безопасности в этом сценарии, вы должны использовать что-то вроде:

protected void initBinder(HttpServletRequest request, ServletRequestDataBinder binder) 
throws Exception {
 String[] allowedFields = {"name", "birthday"}
 binder.setAllowedFields(allowedFields);
}

и ЯВНО установите в РАЗРЕШЕННЫХ полях только те, которые указаны в вашей форме, и исключите первичный ключ, иначе вы получите беспорядок !!!

Чтобы ответить на ваш непосредственный вопрос, проблема, с которой вы столкнулись в Hibernate, связана со следующей последовательностью событий:

1. Один сеанс Hibernate открыт (назовем его сеансом A) в formBackingObject
2. Используя сеанс A, вы загружаете объект Thingie в formBackingObject
3. Вы возвращаете объект Thingie в результате formBackingObject
4. Когда вы возвращаете объект Thingie, сеанс A закрывается, но Thingie по-прежнему связан с ним.
5. При вызове doSubmitAction в качестве команды передается тот же экземпляр объекта поддержки Thingie
6. Открывается новый сеанс Hibernate (назовем его сеансом B).
7. Вы пытаетесь сохранить объект Thingie (первоначально открытый в сеансе A) с помощью сеанса B.

На данный момент Hibernate ничего не знает о сеансе A, потому что он закрыт, поэтому вы получаете сообщение об ошибке. Хорошая новость заключается в том, что вы не должны делать это таким образом, и правильный способ полностью обойдет эту ошибку.

Метод formBackingObject используется для заполнения объекта команды формы данными перед отображением формы. Основываясь на вашем обновленном вопросе, похоже, вы просто пытаетесь отобразить форму, заполненную информацией из данной строки базы данных, и обновить эту строку базы данных при отправке формы.

Похоже, у вас уже есть класс модели для вашей записи; В этом ответе я назову это классом Record). У вас также есть DAO для класса Record, который я назову RecordDao. Наконец, вам нужен класс UpdateRecordCommand, который будет вашим вспомогательным объектом. UpdateRecordCommand должен быть определен со следующими полями и сеттерами/геттерами:

public class UpdateRecordCommand {
  // Row ID of the record we want to update
  private int rowId;
  // New name
  private int String name;
  // New scheme
  private int String scheme;
  // New URL
  private int String url;
  // New enabled flag
  private int boolean enabled;

  // Getters and setters left out for brevity
}

Затем определите свою форму, используя следующий код:

<form:form commandName="update">
  <span>Name:</span>
  <span><form:input path="name" /></span><br/>
  <span>Scheme:</span>
  <span><form:input path="scheme" /></span><br/>
  <span>Url:</span>
  <span><form:input path="url" /></span><br/>
  <span>Enabled:</span>
  <span><form:checkbox path="enabled"/></span><br/>
  <form:hidden path="rowId"/>
  <input type="submit" value="Save Changes" />
</form:form>

Теперь вы определяете свой контроллер формы, который будет заполнять форму в formBackingObject и обрабатывать запрос на обновление в doSubmitAction.

public class UpdateRecordController extends SimpleFormController {

  private RecordDao recordDao;

  // Setter and getter for recordDao left out for brevity

  public UpdateRecordController() {    
      setCommandClass(UpdateRecordCommand.class);
      setCommandName("update");
  }

  @Override
  protected Object formBackingObject(HttpServletRequest request)
      throws Exception {
    // Use one of Spring's utility classes to cleanly fetch the rowId
    int rowId = ServletRequestUtils.getIntParameter(request, "rowId");

    // Load the record based on the rowId paramrter, using your DAO
    Record record = recordDao.load(rowId);

    // Populate the update command with information from the record
    UpdateRecordCommand command = new UpdateRecordCommand();

    command.setRowId(rowId);
    command.setName(record.getName());
    command.setScheme(record.getScheme());
    command.setUrl(record.getUrl());
    command.setEnabled(record.getEnabled());

    // Returning this will pre-populate the form fields
    return command;
  }

  @Override
  protected void doSubmitAction(Object command) throws Exception {
    // Load the record based on the rowId in the update command
    UpdateRecordCommand update = (UpdateRecordCommand) command;
    Record record = recordDao.load(update.getRowId());

    // Update the object we loaded from the data store
    record.setName(update.getName());
    record.setScheme(update.getScheme());
    record.setUrl(update.getUrl());
    record.setEnabled(update.setEnaled());

    // Finally, persist the data using the DAO
    recordDao.save(record);
  }
}

Ваша проблема может быть связана с отсоединенными объектами. Поскольку ваш DAO был изменен вне сеанса Hibernate, вам необходимо повторно прикрепить объект к сеансу Hibernate перед сохранением. Вы можете сделать это либо явно перенеся объект в сеанс перед сохранением с помощью Merge() или update(). Поэкспериментируйте с обоими и прочитайте документацию по этим действиям, так как они имеют разные эффекты в зависимости от структуры ваших объектов данных.

Происходило то, что ?name=rowId каким-то образом искажал сообщение формы. Как только я изменил это имя на имя, которое не отражало параметр в объекте, все заработало нормально. Никаких изменений в DAO или коде контроллера не требуется.

Спасибо всем за ваши ответы. Это помогло мне сузить круг происходящего.