Spring MVC Schulung: Webanwendungen und REST-APIs

Einführung in Spring MVC

• Das Model-View-Controller-Muster: Aufgaben von Model, View und Controller in Webanwendungen
• Architektur von Spring MVC: DispatcherServlet, HandlerMapping, HandlerAdapter, ViewResolver
• Spring MVC im Stack: Servlet-Container, Spring Framework 7 und Spring Boot 4
• Entwicklungsumgebung einrichten: aktuelles JDK, IntelliJ IDEA oder VS Code mit Spring-Erweiterungen
• Projekt mit Spring Boot und Spring Initializr anlegen, Web-Starter und DevTools wählen

Erste Schritte mit Spring MVC

• Einfache Webanwendung: Controller, Thymeleaf-Vorlage und Start im eingebetteten Tomcat
• Anfrageverarbeitung im DispatcherServlet: Filter, Interceptoren, Argumentauflösung, Rückgabewerte
• Aufbau eines Spring-MVC-Projekts: Controller nach Fachlichkeit, templates und static
• Routing und URL-Mapping mit @RequestMapping, Pfadmustern und PathPatternParser
• Funktionale Endpunkte mit RouterFunction als Alternative zu annotierten Controllern

Controller und Anfrageverarbeitung

• Controller erstellen und konfigurieren: schlanke Klassen, Fachlogik in der Service-Schicht
• Annotationen @Controller, @RestController und @RequestMapping auf Klasse und Methode
• Anfragen auswerten mit @RequestHeader, @CookieValue und HttpServletRequest
• Querschnittsaufgaben mit HandlerInterceptor, etwa Protokollierung oder Mandantenkennung
• HTTP-Methoden GET, POST, PUT, PATCH und DELETE mit passenden Statuscodes und Idempotenz

Views und Benutzeroberfläche

• View-Technologien: Thymeleaf als Standard, FreeMarker, JSP nur noch in Bestandsanwendungen
• Daten an die View übergeben mit Model und ModelAndView
• Templates und dynamische Inhalte: Thymeleaf-Ausdrücke, Iteration, Fragmente und Layouts
• Teilaktualisierungen mit htmx: Fragmente per hx-get und hx-post nachladen statt Seite neu laden
• Benutzerinteraktion mit Post/Redirect/Get und Flash-Attributen für Erfolgsmeldungen

Datenmodell und Binding

• Das Model-Objekt: Attribute je Anfrage, @SessionAttributes nur für mehrstufige Formulare
• @ModelAttribute an Parametern und an Methoden für gemeinsame Daten
• Datenbindung mit @RequestParam, @PathVariable und @RequestBody, Standardwerte und optionale Werte
• Typkonvertierung mit Converter und Formatter, Datums- und Zahlenformate
• Java-Records als Formular- und Anfrageobjekte binden
• Mass Assignment verhindern: nur erlaubte Felder binden, DTOs statt Entities

Formulare und Validierung

• Formulare erstellen und verarbeiten mit th:object, th:field und BindingResult
• Jakarta Bean Validation als Nachfolger von JSR-303: @NotBlank, @Size, @Email
• Validierungsregeln anpassen: eigene Constraints, Validierungsgruppen und feldübergreifende Prüfungen
• Eingebaute Methodenvalidierung für Controller und HandlerMethodValidationException
• Fehlermeldungen und Benutzerfeedback mit th:errors, mehrsprachig über messages.properties

Exception Handling in Spring MVC

• Fehlerbehandlung im Controller mit @ExceptionHandler
• Globale Fehlerbehandlung mit @ControllerAdvice und @RestControllerAdvice
• Fehlerantworten nach RFC 9457 mit ProblemDetail und ErrorResponseException
• Benutzerdefinierte Fehlerseiten für 404 und 500 unter templates/error
• Fehler mit Korrelations-ID protokollieren, ohne Stacktraces an Clients zu geben

RESTful APIs mit Spring MVC

• Grundlagen der REST-Architektur: Ressourcen, Repräsentationen, Statuscodes und Hypermedia
• REST-Endpoints mit ResponseEntity, Location-Header und seitenweiser Ausgabe
• JSON- und XML-Verarbeitung mit Jackson, Content Negotiation über den Accept-Header
• API-Versionierung in Spring Framework 7 über Header, Pfad oder Medientyp
• REST-Clients mit RestClient und HTTP-Interfaces (@HttpExchange), RestTemplate in Bestandscode
• API-Dokumentation mit springdoc-openapi und Swagger UI
• Controller testen mit @WebMvcTest und MockMvcTester

Asynchrone Verarbeitung

• Callable und DeferredResult für asynchrone, lang laufende Requests
• Virtual Threads als einfachere Alternative für blockierende Aufrufe im Servlet-Stack
• Reaktive Programmierung mit WebFlux zur Abgrenzung: wann reaktiv, wann Spring MVC
• HTTP-Streaming mit StreamingResponseBody, Server-Sent Events mit SseEmitter

Sicherheit in Spring MVC

• Grundlagen der Web-Sicherheit: OWASP Top 10, XSS, Session-Fixation
• Integration von Spring Security: getrennte SecurityFilterChain für Oberfläche und API
• Authentifizierung per Formular-Login, Autorisierung mit authorizeHttpRequests
• CSRF-Schutz in Thymeleaf-Formularen und htmx-Anfragen, Sicherheitsheader wie Content Security Policy
• OAuth2-Login und JWT-geschützte APIs im Überblick, Vertiefung im Seminar zu Spring Boot

HTTP-Caching und Performance-Optimierung

• Cache-Control, ETag und Last-Modified, bedingte Anfragen mit 304 Not Modified
• Caching für statische Ressourcen: Versionierung im Dateinamen und lange Cache-Zeiten
• Controller-Methoden optimieren: schlanke DTOs, Paging, ShallowEtagHeaderFilter mit Bedacht
• Antwortzeiten verkürzen mit Kompression und HTTP/2 im eingebetteten Server

Cross-Origin Resource Sharing (CORS)

• Grundlagen und Sicherheitsaspekte: Same-Origin-Policy, Preflight-Anfragen, Risiken offener Regeln
• CORS-Richtlinien mit @CrossOrigin und global über WebMvcConfigurer konfigurieren
• CORS-Filter und CORS in Spring Security, damit Preflights nicht an der Anmeldung scheitern

Integration, Deployment und Best Practices im Überblick

• Spring MVC unter Spring Boot in Microservices: was die Auto-Konfiguration einrichtet
• Daten aus Spring Data JPA: Transaktionsgrenzen in der Service-Schicht, Open-in-View abschalten
• Messaging mit Kafka oder RabbitMQ als Ergänzung zu HTTP – Vertiefung im Seminar zu Spring Boot
• Bereitstellung als ausführbares JAR oder als WAR im externen Servlet-Container
• Containerisierung mit Docker und CI/CD-Pipeline im Überblick
• Best Practices: schlanke Controller, einheitliche Fehler und stabile API-Verträge

Spring MVC mit Coding-Agenten

• OpenAPI-Spezifikation als Vertrag: der Agent implementiert Spring-MVC-Controller, Abweichungen fallen im Test auf
• Nach jedem generierten Endpunkt @WebMvcTest mit MockMvcTester für Statuscodes und ProblemDetail-Body
• Thymeleaf- und htmx-Vorschläge auf Escaping prüfen: th:text statt th:utext für Benutzereingaben
• @CrossOrigin("*") oder abgeschalteter CSRF-Schutz aus Agentenvorschlägen nie ohne Begründung übernehmen
• Neue Felder in Formularobjekten nur zusammen mit einem Bindungstest, der unerlaubte Felder abweist

Praxisprojekt: Raumbuchung für ein Bürogebäude

• Thymeleaf-Oberfläche mit htmx-Suche nach freien Räumen und validiertem Buchungsformular
• REST-API in zwei Versionen mit API-Versionierung, OpenAPI-Dokumentation und ProblemDetail-Fehlern
• Live-Belegung per Server-Sent Events, ETag für die Raumliste
• Login mit Spring Security, CSRF-Token in htmx-Anfragen und CORS-Freigabe für eine Kalender-App

Lernziele

• Sie entwickeln robuste Webanwendungen mit Spring MVC und erklären den Weg einer Anfrage durch das DispatcherServlet.
• Sie verarbeiten HTTP-Anfragen mit Controllern und Annotationen und stellen dynamische Inhalte mit Thymeleaf und htmx dar.
• Sie implementieren Datenbindung, Bean Validation und zentrale Fehlerbehandlung mit @ControllerAdvice und ProblemDetail.
• Sie erstellen versionierte, dokumentierte REST-APIs und rufen andere Dienste mit RestClient auf.
• Sie sichern Web-Anwendungen mit Spring Security ab und konfigurieren CORS und HTTP-Caching passend zum Client.
• Sie ordnen die Integration mit Spring Data, Spring Boot und Messaging ein und wissen, wo die Web-Schicht endet.

Zielgruppe

• Java-Webentwickler:innen, die serverseitige Oberflächen mit Spring MVC bauen
• Teams, die öffentliche oder interne REST-APIs mit Spring entwickeln und pflegen
• Entwickler:innen mit Spring-Grundkenntnissen, die die Web-Schicht im Detail verstehen wollen