在 spring mvc 处理 `application/x-www-form-urlencoded` 请求时，若同时存在同名查询参数（query param）和表单字段（form field），默认会合并值导致数据污染；本文详解如何确保仅从请求体解析参数，彻底隔离 url 参数干扰。
Spring 默认对 application/x-www-form-urlencoded 类型的 POST 请求采用 表单参数注入机制（而非 JSON 那样的 @RequestBody 解析），其底层依赖 ServletRequest.getParameter() 读取数据。而该方法的行为是：优先合并所有同名参数来源（URL 查询字符串 + 请求体），结果以逗号分隔（如 "doNotIncludeThis,testReturnData"）。这正是你遇到问题的根本原因——Spring 并未“主动选择”从 URL 或 Body 绑定，而是 Servlet 规范本身将二者统一暴露为 getParameter() 的可枚举集合。
✅ 正确解法：启用 FormContentFilter
Spring 提供了 FormContentFilter 来显式分离请求体与查询参数。它会在请求进入 DispatcherServlet 前拦截 POST/PUT/PATCH/DELETE 请求，将 application/x-www-form-urlencoded 的请求体内容解析为独立的 Form 数据，并覆盖 Servlet 原生的 getParameter() 行为，使其仅返回请求体中的字段（忽略 URL 查询参数）。
⚠️ 注意：此 Filter 默认在 Spring Boot 2.3+ 中已自动注册，但仅对 PUT/PATCH/DELETE 启用；对于 POST 请求，需显式启用（因历史兼容性考虑）。
配置方式（推荐）
在 application.properties 中添加：
# 启用 FormContentFilter 对 POST 请求的支持（关键！） spring.mvc.formcontent.filter.enabled=true
或在 application.yml 中：
spring:
mvc:
formcontent:
filter:
enabled: true✅ 启用后，你的原 Controller 无需任何修改即可生效：
@PostMapping(path = "/test",
consumes = MediaType.APPLICATION_FORM_URLENCODED_VALUE,
produces = MediaType.APPLICATION_JSON_VALUE)
@ResponseStatus(HttpStatus.OK)
public TestDTO test(TestDTO testDTO) {
return testDTO; // 此时 testDTO.sample 仅取自 body 中的 'sample=testReturnData'
}此时再执行含冲突 query param 的请求：
curl -X POST 'localhost:8081/test?sample=doNotIncludeThis' \ -H 'Content-Type: application/x-www-form-urlencoded' \ --data-urlencode 'sample=testReturnData'
响应将严格为：
{
"sample": "testReturnData"
}? 补充说明与注意事项
- @RequestBody 不适用此场景：@RequestBody 要求 Content-Type 与消息转换器（如 MappingJackson2HttpMessageConverter）匹配，而 x-www-form-urlencoded 默认由 FormHttpMessageConverter 处理，且需配合 @ModelAttribute 或直接参数绑定。强行使用 @RequestBody 会导致 415 Unsupported Media Type。
- 不要尝试 @RequestParam(required = false) 或 @ModelAttribute 手动控制：这些注解无法改变 getParameter() 的合并行为，属于治标不治本。
- 安全性提示：禁用 URL 参数绑定可避免潜在的参数污染攻击（如通过恶意 query param 覆盖关键字段），是生产环境推荐实践。
- 验证是否生效：可在 Controller 中注入 HttpServletRequest 并调用 request.getParameterMap() 查看实际键值对，启用 Filter 后应仅包含 body 字段。
✅ 总结
解决 x-www-form-urlencoded 请求中 URL 参数干扰的核心，在于启用 Spring 的 FormContentFilter 并确保其对 POST 方法生效。这并非“禁用参数”，而是通过标准化的 Servlet Filter 机制，将请求体内容提升为唯一可信的数据源，从根本上保障数据绑定的确定性与安全性。配置一行属性即可，简洁、可靠、符合 Spring 官方最佳实践。
