Spring Bootのフォームバリデーションとは？@Validで安全な入力チェックを実現しよう

その入力、本当に大丈夫？Spring Bootのバリデーションが必要な理由

Webアプリケーションを開発していると、こんな経験はありませんか？

入力フォームに不正な値が送られてエラーになった
数値が必要な項目に文字列が入ってしまった
入力チェックをコントローラで毎回手書きしている

このような「入力値の検証（バリデーション）」は、セキュリティ・信頼性の観点から非常に重要です。特に、Spring Bootのようなフレームワークを使って開発を効率化している場合でも、入力の検証を甘く見ると脆弱性の原因になります。

この記事では、Spring Bootにおけるフォームバリデーションの仕組みと、@Validアノテーションを中心に、実務ですぐに活用できる方法を解説していきます。

Spring Bootにおけるフォームバリデーションの基本

フォームバリデーションとは？

フォームバリデーションとは、ユーザーが入力した値をサーバー側でチェックし、意図しないデータや不正な入力をブロックする処理です。

Spring Bootでは、javax.validation（現在はjakarta.validation）によるBean Validation（Java標準のバリデーションAPI）を使って、オブジェクト単位でバリデーションを行うことができます。

基本の流れを見てみよう

フォームバリデーションの典型的な流れは以下の通りです。

[フォーム入力] → [DTOにデータバインド] → [@Validでバリデーション] → [BindingResultでチェック] → [エラー表示 or 正常処理]

DTO（Data Transfer Object）：画面とサーバー間のデータ受け渡し専用オブジェクト。
バインド（バインディング）：フォームから送られた値をJavaオブジェクト（DTOなど）に自動的に割り当てる処理。
BindingResult：バリデーション結果（エラーの有無や詳細）を格納するオブジェクト。

具体的なコード例で解説

入力フォームのDTOクラス

import jakarta.validation.constraints.*;

public class UserForm {

    @NotBlank(message = "名前は必須項目です")
    private String name;

    @Email(message = "メールアドレスの形式が正しくありません")
    private String email;

    @Min(value = 18, message = "年齢は18歳以上である必要があります")
    private int age;

    // Getter / Setter
}

コントローラクラス

import org.springframework.stereotype.Controller;
import org.springframework.validation.BindingResult;
import org.springframework.web.bind.annotation.*;

@Controller
public class UserController {

    @PostMapping("/submit")
    public String submitForm(@Valid @ModelAttribute UserForm form, BindingResult result) {
        if (result.hasErrors()) {
            return "form"; // バリデーションエラー時の画面に戻す
        }
        // 正常処理
        return "success";
    }
}

@Valid：引数のオブジェクトに対して、バリデーションを自動的に実行するアノテーション。
@ModelAttribute：リクエストパラメータをモデル属性としてバインドするためのアノテーション。
@PostMapping：HTTP POSTリクエストに対応するメソッドを定義するアノテーション。

よく使われるアノテーション一覧（抜粋）

@NotBlank：空文字やnullを禁止（文字列に対する非空チェック）
@Email：メールアドレス形式の検証
@Size：文字列やコレクションの長さ制限
@Min, @Max：数値の範囲指定

バリデーションアノテーションは、DTOの各フィールドに適用するだけで有効になります。

つまずきやすいポイントと正しい使い方

よくある間違い：BindingResultの使い方

Before：エラーになる例

public String submitForm(@Valid UserForm form) {
    // BindingResult がないため、バリデーションエラーを検出できない
}

After：正しい書き方

public String submitForm(@Valid UserForm form, BindingResult result) {
    if (result.hasErrors()) {
        return "form";
    }
    return "success";
}

BindingResultは、必ず@Valid直後の引数に配置する必要があります。