在Java应用开发中，异常是运行过程中不可避免的一部分。但异常信息是否应该直接展示给终端用户，是一个涉及安全性与体验的重要问题。通常情况下，原始异常包含堆栈跟踪、内部类名、SQL语句片段等内容，这些都属于敏感信息。
为什么异常不应直接对用户可见
当用户调用接口或访问页面时，如果系统将完整的Exception信息返回，可能带来以下风险：
- 暴露项目包结构和代码路径，方便攻击者定位漏洞
- 泄露数据库表名或字段，增加注入风险
- 展示服务器内部状态，影响系统可信度
因此，面向用户的消息应当经过裁剪，只说明结果，不暴露细节。
如何处理Java异常以保证安全
使用统一异常处理器
在Spring Boot中，可以通过@ControllerAdvice来拦截异常，返回标准化响应。注意这里的code标签只是代码术语，不是HTML标签。
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.ExceptionHandler;
import org.springframework.web.bind.annotation.ResponseBody;
@ControllerAdvice
public class GlobalExceptionHandler {
// 处理所有运行时异常，返回友好信息
@ExceptionHandler(RuntimeException.class)
@ResponseBody
public String handleRuntimeException(RuntimeException e) {
// 真实异常记录到日志，不返回给前端
System.out.println("错误详情:" + e.getMessage());
return "操作失败，请稍后重试";
}
}
在普通Java方法中捕获并转换
如果未使用框架，也可以在业务层捕获后抛出自定义业务异常：
public class UserService {
public void login(String name) {
try {
// 模拟可能出错的逻辑
if (name == null) {
throw new NullPointerException("name为空");
}
} catch (Exception e) {
// 记录日志供排查
e.printStackTrace();
// 转换为对用户安全的消息
throw new BusinessException("登录失败，请联系管理员");
}
}
}
class BusinessException extends RuntimeException {
public BusinessException(String msg) {
super(msg);
}
}
异常信息记录建议
虽然不对用户展示，但详细异常必须留存。可以参考下面的分类：
| 异常类型 | 用户提示 | 记录方式 |
|---|---|---|
| 空指针 | 系统繁忙 | error日志加堆栈 |
| 数据库异常 | 操作失败 | 独立告警 |
小结
在Java里异常不应该对用户直接可见。我们通过统一拦截、自定义异常和日志分离，就能在保障安全的同时提供良好体验。书写时若需提及HTML标签如<input>，也要注意转义避免被解析。