// 白名单：只允许已知安全的输入
public class UsernameValidator {
    private static final Pattern VALID = Pattern.compile("^[a-zA-Z0-9_]{3,20}$");
    
    public static boolean isValid(String username) {
        return username != null && VALID.matcher(username).matches();
    }
}

// 黑名单：试图排除已知危险的输入（不推荐）
// 问题：攻击者总能找到绕过的方法

// 危险！字符串拼接
String query = "SELECT * FROM users WHERE name = '" + userInput + "'";
// 输入: ' OR '1'='1
// 结果: SELECT * FROM users WHERE name = '' OR '1'='1'

// 安全：参数化查询
PreparedStatement stmt = conn.prepareStatement(
    "SELECT * FROM users WHERE name = ?"
);
stmt.setString(1, userInput);    // 自动转义
ResultSet rs = stmt.executeQuery();

// 危险：直接输出用户输入
response.getWriter().write("<p>" + userInput + "</p>");
// 输入: <script>alert('xss')</script>

// 安全：HTML 转义
String safe = HtmlUtils.htmlEscape(userInput);
response.getWriter().write("<p>" + safe + "</p>");

// 或者使用模板引擎的自动转义
// Thymeleaf: <p th:text="${userInput}"></p>

层1: 语法验证（格式正确吗？）
  → 邮箱格式、手机号格式
  
层2: 语义验证（值合理吗？）
  → 年龄 > 0 且 < 150，日期在过去
  
层3: 业务验证（符合业务规则吗？）
  → 转账金额不超过余额，用户名未被占用

public class Validator<T> {
    private final List<ValidationRule<T>> rules = new ArrayList<>();
    
    public Validator<T> addRule(ValidationRule<T> rule) {
        rules.add(rule);
        return this;
    }
    
    public ValidationResult validate(T value) {
        List<String> errors = new ArrayList<>();
        for (ValidationRule<T> rule : rules) {
            String error = rule.check(value);
            if (error != null) errors.add(error);
        }
        return new ValidationResult(errors.isEmpty(), errors);
    }
}

// 使用
Validator<String> emailValidator = new Validator<String>()
    .addRule(v -> v == null ? "Email is required" : null)
    .addRule(v -> v != null && !v.contains("@") ? "Invalid email format" : null)
    .addRule(v -> v != null && v.length() > 254 ? "Email too long" : null);

ValidationResult result = emailValidator.validate(userInput);
if (!result.isValid()) {
    return ResponseEntity.badRequest().body(result.getErrors());
}