Можно ли сделать разметку методов над приватными методами в контроллере?

Аннотации над приватными методами в контроллере

Ответ: технически можно, но это ошибка дизайна. Приватные методы в контроллере не должны обрабатывать HTTP запросы.

Почему это плохо

1. Spring игнорирует приватные методы

@RestController
@RequestMapping("/users")
public class UserController {
    
    // Это НЕ будет работать как endpoint!
    @GetMapping("/{id}")
    private String getUserById(@PathVariable Long id) {
        return "User " + id;
    }
}

// Результат: 404 Not Found
// GET /users/123 -> Spring не видит этот метод

Почему: Spring DispatcherServlet использует reflection для поиска обработчиков. Приватные методы недоступны для отражения (reflection) извне класса.

2. Spring требует public методы

Правильный способ:

@RestController
@RequestMapping("/users")
public class UserController {
    
    @GetMapping("/{id}")
    public String getUserById(@PathVariable Long id) {
        return "User " + id;
    }
}

Почему разработчики это делают

Попытка 1: Скрыть логику

@RestController
public class UserController {
    
    @GetMapping("/public-endpoint")
    public String publicMethod() {
        return privateHelper();  // Вызываем приватный метод
    }
    
    private String privateHelper() {
        return "Hidden logic";
    }
}

// Правильно: publicMethod() - public, privateHelper() - private

Попытка 2: Контроль доступа (неправильно)

@RestController
public class UserController {
    
    // Они думают: "Сделаю его приватным и Spring не будет его вызывать"
    @PostMapping("/admin-only")
    private void adminOnlyEndpoint() {
        // ...
    }
}

// Неправильно! Используй @PreAuthorize вместо этого

Правильный подход: SecurityConfig

@RestController
@RequestMapping("/users")
public class UserController {
    
    @GetMapping("/{id}")
    public UserDTO getUser(@PathVariable Long id) {
        return userService.findById(id);
    }
    
    @PostMapping
    @PreAuthorize("hasRole('ADMIN')")  // Защита через аннотацию
    public UserDTO createUser(@RequestBody UserDTO dto) {
        return userService.create(dto);
    }
    
    @DeleteMapping("/{id}")
    @PreAuthorize("hasRole('ADMIN')")
    public void deleteUser(@PathVariable Long id) {
        userService.deleteById(id);
    }
}

// Или в SecurityConfig
@Configuration
@EnableWebSecurity
public class SecurityConfig {
    
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/users/*/edit").hasRole("ADMIN")
                .requestMatchers("/users/*").permitAll()
                .anyRequest().authenticated()
            )
            .build();
        
        return http.build();
    }
}

Другие способы приватизировать методы

1. Helper методы (приватные)

@RestController
@RequestMapping("/users")
public class UserController {
    
    @GetMapping("/{id}")
    public UserDTO getUser(@PathVariable Long id) {
        UserEntity entity = fetchUser(id);  // Приватный helper
        return mapToDTO(entity);            // Приватный helper
    }
    
    private UserEntity fetchUser(Long id) {
        return userRepository.findById(id)
            .orElseThrow(() -> new NotFoundException("User not found"));
    }
    
    private UserDTO mapToDTO(UserEntity entity) {
        return new UserDTO(entity.getId(), entity.getName());
    }
}

2. Service layer (рекомендуется)

@RestController
@RequestMapping("/users")
public class UserController {
    
    private final UserService userService;
    
    @GetMapping("/{id}")
    public UserDTO getUser(@PathVariable Long id) {
        return userService.findById(id);  // Вся логика в Service
    }
}

@Service
public class UserService {
    
    private final UserRepository userRepository;
    private final UserMapper mapper;
    
    public UserDTO findById(Long id) {
        UserEntity entity = userRepository.findById(id)
            .orElseThrow(() -> new NotFoundException("User not found"));
        return mapper.toDTO(entity);
    }
    
    private void validateUser(UserEntity user) {  // Приватный helper
        if (user.getName() == null || user.getName().isEmpty()) {
            throw new ValidationException("Invalid user");
        }
    }
}

Иерархия уровней доступа в Spring контроллере

@RestController
@RequestMapping("/products")
public class ProductController {
    
    private final ProductService service;
    
    // ✅ PUBLIC - обрабатывает HTTP запросы
    @GetMapping("/{id}")
    public ProductDTO getProduct(@PathVariable Long id) {
        return service.findById(id);
    }
    
    @PostMapping
    @PreAuthorize("hasRole('ADMIN')")
    public ProductDTO createProduct(@RequestBody ProductDTO dto) {
        return service.create(dto);
    }
    
    // ✅ PRIVATE - вспомогательные методы
    private void logRequest(String endpoint) {
        log.info("Request to: {}", endpoint);
    }
    
    private boolean isValidRequest(ProductDTO dto) {
        return dto.getName() != null && !dto.getName().isEmpty();
    }
}

Best Practices

DO:

• Используй public для методов, обрабатывающих HTTP запросы
• Используй private для helper методов
• Выноси логику в Service layer
• Используй @PreAuthorize, @Secured, @RolesAllowed для ограничения доступа
• Используй Spring Security конфигурацию

DON'T:

• Делай приватными методы с Spring аннотациями (@GetMapping, @PostMapping и т.д.)
• Полагайся на приватность как на защиту (не сработает)
• Помещай сложную логику в контроллер (выноси в Service)
• Создавай множество приватных helper методов в контроллере (выноси в отдельный класс)

Итог

Приватные методы в контроллере игнорируются Spring'ом — они просто не будут обработаны как endpoints. Если нужна реальная защита — используй Spring Security и ролевое управление доступом.