基于.Net的Web API 控制器及方法相关注解属性

Ne0inhk

— 11 min read
在这里插入图片描述

文章目录

在这里插入图片描述

这些属性主要用于定义 API 的路由、HTTP 方法、参数绑定、响应类型、授权、Swagger 文档等，通常位于控制器类或 Action 方法上。

1. 路由与 HTTP 方法 (Microsoft.AspNetCore.Mvc 命名空间)

  • [ApiController]
    • 作用： 应用于控制器类。启用 API 特定的约定和行为：
      • 自动 HTTP 400 响应： 当模型验证失败时，自动返回 BadRequestResult (400)，包含 ModelState 错误详情。
      • 推断参数源： 自动推断复杂类型参数来自请求体 ([FromBody])，简单类型来自查询字符串 ([FromQuery]) 或路由 ([FromRoute])。
      • 属性路由要求： 要求控制器使用 [Route] 或 [HttpGet] 等属性定义路由。
      • 错误状态码详细信息： 在 4xx 错误响应中包含 ProblemDetails 格式的错误信息。
  • [Route]
    • 作用： 定义控制器或 Action 方法的 URL 路由模板。可应用于控制器（为所有 Action 方法设置前缀）或 Action 方法。
    • 参数：
      • Template (必填): URL 路由模板字符串。可以使用 [controller]（控制器名去掉 “Controller” 后缀）、[action]（方法名）占位符。模板中可用 {param} 定义路由参数。
      • Name (可选): 为路由指定一个唯一名称，用于生成 URL (IUrlHelper 或链接)。
      • Order (可选): 路由匹配的顺序（数字越小优先级越高）。
  • HTTP 方法属性 ([HttpGet], [HttpPost], [HttpPut], [HttpDelete], [HttpPatch], [HttpHead], [HttpOptions])
    • 作用： 指定 Action 方法响应哪个 HTTP 方法（动词）。它们本质上是带有固定 HttpMethod 的 [HttpMethod] 属性的快捷方式。通常与 [Route] 或内联路由模板一起使用。
    • 参数：
      • Template (可选): 内联的路由模板字符串。如果提供，它会覆盖或附加到控制器路由模板。
      • Name (可选): 路由名称。
      • Order (可选): 路由顺序。
  • [AcceptVerbs]
    • 作用： 允许 Action 方法响应多个 HTTP 方法。指定一个或多个 HTTP 方法字符串（如 "GET", "POST", "PATCH"）。
    • 参数：
      • verbs (必填): 允许的 HTTP 方法列表。
  • [NonAction]
    • 作用： 标记控制器类中的某个公共方法不是一个 Action 方法。防止 MVC 框架将其视为可路由的 HTTP 端点。

示例：

publicclassUsersController:ControllerBase{// 这是一个 Action 方法[HttpGet("{id}")]publicIActionResultGetUser(int id){...}// 这是一个公共辅助方法，但不是 Action[NonAction]publicstringGeneratePasswordResetToken(){...}}

示例：

[AcceptVerbs("GET","HEAD")]// 响应 GET 和 HEAD 请求publicIActionResultGetInfo(int id){...}

示例：

[HttpGet]// 映射到 GET api/productspublicIEnumerable<Product>GetAll(){...}[HttpGet("{id}")]// 映射到 GET api/products/5publicActionResult<Product>GetById(int id){...}[HttpPost("create")]// 映射到 POST api/products/createpublicIActionResultCreateProduct([FromBody]Product product){...}[HttpPut("{id}")]// 映射到 PUT api/products/5publicIActionResultUpdateProduct(int id,[FromBody]Product product){...}[HttpDelete("{id}")]// 映射到 DELETE api/products/5publicIActionResultDeleteProduct(int id){...}

示例：

[ApiController][Route("api/v{version:apiVersion}/[controller]")]// 控制器级路由，带版本publicclassOrdersController:ControllerBase{[HttpGet("{id:int}")]// Action 级路由，组合成 api/v1/orders/5publicIActionResultGetById(int id){...}[HttpPost]// 使用控制器路由前缀：api/v1/orderspublicIActionResultCreate(Order order){...}[Route("~/legacy/orders")]// 覆盖控制器前缀，使用根级路由 /legacy/orderspublicIActionResultGetLegacyOrders(){...}}

示例：

[ApiController][Route("api/[controller]")]// 必需属性路由publicclassProductsController:ControllerBase{// ...}

2. 参数绑定源 (Microsoft.AspNetCore.Mvc 命名空间)

  • [FromBody]
    • 作用： 指示参数应从 HTTP 请求的正文中绑定。通常用于绑定复杂的 JSON/XML 对象。在 [ApiController] 中，复杂类型参数默认使用此来源。
  • [FromQuery]
    • 作用： 指示参数应从 URL 查询字符串中绑定。在 [ApiController] 中，简单类型参数默认使用此来源。
  • [FromRoute]
    • 作用： 指示参数应从 URL 路由数据中绑定（由路由模板中的 {param} 定义）。在 [ApiController] 中，如果路由模板中有匹配名称的参数，默认使用此来源。
  • [FromHeader]
    • 作用： 指示参数应从 HTTP 请求头中绑定。
  • [FromForm]
    • 作用： 指示参数应从 HTTP 请求的已提交表单数据中绑定。常用于 multipart/form-data 或 application/x-www-form-urlencoded 内容类型。
  • [FromServices]
    • 作用： 指示参数应通过依赖注入 (DI) 容器解析获得，而不是从请求中绑定。用于在 Action 方法中注入服务。
  • [BindRequired] / [BindNever]
    • 作用：
      • [BindRequired]: 指示参数是必需的，如果无法绑定（如从查询字符串缺少值），则模型验证会失败。
      • [BindNever]: 指示参数应被完全忽略，不进行绑定。常用于防止过度提交攻击（Mass Assignment）。

示例：

publicclassUserUpdateModel{publicstring Username {get;set;}[BindRequired]// 更新时必须提供 Emailpublicstring Email {get;set;}[BindNever]// 防止客户端设置 IsAdmin 属性publicbool IsAdmin {get;set;}}

示例：

[HttpPost]publicIActionResultPlaceOrder(Order order,[FromServices]IOrderService orderService){ orderService.ProcessOrder(order);returnOk();}

示例：

[HttpPost("upload")]publicIActionResultUploadFile([FromForm]IFormFile file,[FromForm]string description){// ...}

示例：

[HttpGet]publicIActionResultGet([FromHeader(Name ="X-Client-Version")]string clientVersion){// 从请求头 X-Client-Version 获取值}

示例：

[HttpGet("{id:int}")]publicIActionResultGetById([FromRoute]int id)// 从路由 /api/products/5 中绑定 id=5{// ...}

示例：

[HttpGet("search")]publicIActionResultSearchProducts([FromQuery]string name,[FromQuery]int? minPrice){// GET /api/products/search?name=apple&minPrice=10}

示例：

[HttpPost]publicIActionResultCreate([FromBody]Product product)// 从请求体 JSON 绑定{// ...}

3. 响应类型与格式 (Microsoft.AspNetCore.Mvc 命名空间)

  • [Produces]
    • 作用： 应用于控制器或 Action 方法，指定 Action 方法返回的响应内容类型（MIME 类型，如 "application/json", "application/xml"）。影响 Content-Type 响应头和客户端内容协商。
    • 参数：
      • contentType (必填): 内容类型字符串。
      • Type (可选): 返回对象类型的 Type (常用于 Swagger 文档)。
      • StatusCodes (可选): 关联的状态码数组 (常用于 Swagger 文档)。
  • [Consumes]
    • 作用： 应用于控制器或 Action 方法，指定 Action 方法接受的请求内容类型（MIME 类型）。用于内容协商，如果请求的 Content-Type 不匹配，框架会返回 415 Unsupported Media Type。
    • 参数：
      • contentType (必填): 内容类型字符串。
  • [ProducesResponseType]
    • 作用：强烈推荐使用！ 指定 Action 方法返回的特定 HTTP 状态码及其关联的响应类型。主要用于：
      1. Swagger/OpenAPI 文档生成： 为工具（如 SwaggerUI）提供清晰的 API 契约。
      2. 增强代码可读性： 明确说明方法可能返回哪些状态码。
    • 参数：
      • statusCode (必填): HTTP 状态码（如 200, 201, 400, 404, 500）。建议使用 StatusCodes 常量（如 StatusCodes.Status200OK）。
      • Type (可选): 成功响应（2xx）时返回的对象类型。对于错误响应（4xx/5xx），通常是 ProblemDetails 或 string。
      • ContentType (可选): 响应的内容类型。
  • [ProducesDefaultResponseType]
    • 作用： 当无法匹配其他 [ProducesResponseType] 指定的状态码时，指定一个默认的响应类型。常用于捕获未明确声明的错误（如 500 Internal Server Error）。
    • 参数：
      • Type (可选): 默认响应的对象类型（通常是 ProblemDetails）。

示例：

[HttpDelete("{id}")][ProducesResponseType(StatusCodes.Status204NoContent)]// 删除成功[ProducesResponseType(StatusCodes.Status404NotFound)]// 找不到资源[ProducesDefaultResponseType(typeof(ProblemDetails))]// 其他错误（如服务器异常）publicIActionResultDelete(int id){try{// ... 删除逻辑，可能抛出异常returnNoContent();}catch(NotFoundException){returnNotFound();}// 其他异常会被 [ApiController] 捕获并返回 500 + ProblemDetails}

示例：

[HttpGet("{id}")][ProducesResponseType(StatusCodes.Status200OK, Type =typeof(Product))]// 成功返回 Product[ProducesResponseType(StatusCodes.Status404NotFound)]// 找不到资源[ProducesResponseType(StatusCodes.Status400BadRequest)]// 无效请求（如 id 格式错误）publicActionResult<Product>GetById(int id){if(id <=0)returnBadRequest("ID must be positive");var product = _repository.GetProduct(id);if(product ==null)returnNotFound();return product;}[HttpPost][ProducesResponseType(StatusCodes.Status201Created, Type =typeof(Product))]// 创建成功，返回新资源[ProducesResponseType(StatusCodes.Status400BadRequest, Type =typeof(ValidationProblemDetails))]// 验证失败，返回 ProblemDetailspublicasyncTask<ActionResult<Product>>Create([FromBody]Product product){if(!ModelState.IsValid)returnBadRequest(ModelState);// [ApiController] 自动处理为 400 + ValidationProblemDetailsvar createdProduct =await _repository.AddProductAsync(product);returnCreatedAtAction(nameof(GetById),new{ id = createdProduct.Id }, createdProduct);// 201 Created}

示例：

[HttpPost][Consumes("application/json")]// 只接受 Content-Type 为 application/json 的请求publicIActionResultCreate([FromBody]Product product){...}[HttpPost("upload")][Consumes("multipart/form-data")]// 接受文件上传publicIActionResultUpload([FromForm]IFormFile file){...}

示例：

[ApiController][Route("api/[controller]")][Produces("application/json")]// 控制器级：所有 Action 默认生成 JSONpublicclassProductsController:ControllerBase{[HttpGet("{id}")][Produces("application/xml")]// 覆盖控制器设置，此 Action 生成 XMLpublicProductGetById(int id){...}[HttpGet][Produces("application/json","application/xml")]// 支持 JSON 和 XML 内容协商publicIEnumerable<Product>GetAll(){...}}

4. 授权与认证 (Microsoft.AspNetCore.Authorization 命名空间)

  • [Authorize]
    • 作用： 要求用户必须经过认证（登录）才能访问该控制器或 Action 方法。如果未认证，返回 401 Unauthorized。可应用于控制器（保护所有方法）或单个 Action 方法。
    • 参数：
      • AuthenticationSchemes (可选): 指定使用的认证方案（如 "Bearer", "Cookies"）。
      • Policy (可选): 指定授权策略名称（需要在 Startup.cs 中配置策略）。
      • Roles (可选): 指定允许访问的用户角色（逗号分隔）。用户需要拥有其中至少一个角色。
  • [AllowAnonymous]
    • 作用： 允许匿名用户访问被 [Authorize] 保护的控制器或 Action 方法。通常用于登录、注册等不需要认证的接口。
    • 示例： 见上面 [Authorize] 示例中的 PublicInfo 方法。
  • [Authorize(Policy = "...")]
    • 作用： 使用自定义授权策略进行访问控制。策略在 Startup.cs 的 ConfigureServices 中使用 services.AddAuthorization 配置，可以包含复杂的授权要求（如年龄限制、声明要求、自定义处理程序）。
  • [RequiredScope] (通常用于 Azure AD / Microsoft Identity Platform)
    • 作用： 要求请求的访问令牌 (access_token) 必须包含指定的作用域 (Scope)。这是实现 OAuth2 权限控制的关键。
    • 参数：
      • RequiredScopes (必填): 要求的作用域数组。

示例：

[HttpGet("reports")][RequiredScope("Reports.Read","Reports.ReadWrite")]// 需要 Reports.Read 或 Reports.ReadWrite 权限publicIActionResultGetReports(){...}

示例：

// Startup.cs services.AddAuthorization(options =>{ options.AddPolicy("Over18", policy => policy.RequireAssertion(context => context.User.HasClaim(c =>(c.Type =="Age"&&int.Parse(c.Value)>=18))); options.AddPolicy("CanDelete", policy => policy.RequireClaim("Permission","Delete"));});// Controller[HttpDelete("{id}")][Authorize(Policy ="Over18")]// 要求年龄 >= 18[Authorize(Policy ="CanDelete")]// 要求拥有 "Delete" 权限声明 (可以组合多个 [Authorize])publicIActionResultDelete(int id){...}

示例：

[ApiController][Authorize]// 整个控制器需要登录[Route("api/[controller]")]publicclassSecureController:ControllerBase{[HttpGet("userinfo")]publicIActionResultGetUserInfo(){...}// 需要登录[HttpGet("admin")][Authorize(Roles ="Administrator")]// 需要登录且角色为 AdministratorpublicIActionResultAdminOnly(){...}}[AllowAnonymous]// 覆盖控制器的 [Authorize]，允许匿名访问[HttpGet("public")]publicIActionResultPublicInfo(){...}

5. Swagger/OpenAPI 文档增强 (Swashbuckle.AspNetCore.Annotations 或 Microsoft.AspNetCore.Mvc)

  • [SwaggerOperation] (Swashbuckle)
    • 作用： 为特定的 API 操作（Action 方法）添加摘要 (Summary) 和详细描述 (Description)。
    • 参数：
      • Summary: 操作的简短摘要。
      • Description: 操作的详细描述。
      • OperationId: 自定义操作的唯一标识符（覆盖默认生成）。
      • Tags: 自定义操作的标签（覆盖默认的控制器名）。
  • [SwaggerResponse] (Swashbuckle)
    • 作用： 替代或补充 [ProducesResponseType]，为 Swagger 提供更详细的响应信息（如响应头、示例）。与 [ProducesResponseType] 通常一起使用或单独使用。
    • 参数：
      • statusCode (必填): HTTP 状态码。
      • Type (可选): 响应体类型。
      • Description (可选): 响应的描述。
      • ContentTypes (可选): 响应的内容类型。
  • [SwaggerParameter] (Swashbuckle)
    • 作用： 为参数添加描述或指定其是否必需（覆盖默认推断）。
    • 参数：
      • Name: 参数名称。
      • Description: 参数描述。
      • Required: 是否必需（覆盖默认）。
      • In: 参数位置 (ParameterLocation.Query, .Path, .Header, .Body)，覆盖默认推断。
  • [SwaggerSchema] (Swashbuckle)
    • 作用： 应用于模型类或属性，为 Swagger Schema 提供额外信息（如描述、示例值、是否只读/必填）。
    • 参数：
      • Description: 模型或属性的描述。
      • ReadOnly: 是否只读（在响应中出现，不应在请求中发送）。
      • Required: 是否必需（覆盖数据注解的 [Required] 对于 Swagger 的影响）。
      • Example: 提供示例值。
  • [ProducesErrorResponseType] (AspNetCore.Mvc) - 与 Swagger 配合
    • 作用： 当与 [ProducesDefaultResponseType] 或特定错误 [ProducesResponseType] 结合使用时，明确告知 Swagger 默认错误响应的类型（通常是 ProblemDetails 或 HttpValidationProblemDetails）。

示例：

[ApiController][ProducesErrorResponseType(typeof(ProblemDetails))]// 告诉 Swagger 默认错误响应是 ProblemDetails[Route("api/[controller]")]publicclassMyController:ControllerBase{...}

示例：

publicclassProduct{[SwaggerSchema("The unique identifier of the product", ReadOnly =true)]publicint Id {get;set;}[Required][SwaggerSchema("The name of the product", Example ="Apple iPhone 13")]publicstring Name {get;set;}[SwaggerSchema("The price in USD", Format ="decimal")]publicdecimal Price {get;set;}}

示例：

[HttpGet("search")]publicIActionResultSearch([FromQuery,SwaggerParameter("Name of the product to search for", Required =true)]string name,[FromQuery,SwaggerParameter("Minimum price filter")]decimal? minPrice){...}

示例：

[HttpGet("{id}")][ProducesResponseType(StatusCodes.Status200OK)]// MVC 行为[SwaggerResponse(200,"The product was found",typeof(Product))]// Swagger 文档增强[SwaggerResponse(404,"The product does not exist",typeof(NotFoundResult))]publicActionResult<Product>GetById(int id){...}

示例：

[HttpPost][SwaggerOperation( Summary ="Creates a new product", Description ="Requires administrator privileges. Returns the created product with its generated ID.", OperationId ="CreateProduct", Tags =new[]{"Admin"})]publicActionResult<Product>Create([FromBody]Product product){...}
在这里插入图片描述

Read more

前端防范 XSS（跨站脚本攻击）

目录 一、防范措施 1.layui util  核心转义的特殊字符 示例 2.js-xss.js库 安装 1. Node.js 环境（npm/yarn） 2. 浏览器环境 核心 API 基础使用 1. 基础过滤（默认规则） 2. 自定义过滤规则 （1）允许特定标签 （2）允许特定属性 （3）自定义标签处理 （4）自定义属性处理 （5）转义特定字符 常见场景示例 1. 过滤用户输入的评论内容 2. 允许特定富文本标签（如富文本编辑器内容） 注意事项 更多配置 XSS（跨站脚本攻击）是一种常见的网络攻击手段，它允许攻击者将恶意脚本注入到其他用户的浏览器中。

By Ne0inhk
【Actix Web】Rust Web开发实战：Actix Web框架全面指南

【Actix Web】Rust Web开发实战：Actix Web框架全面指南

✨✨ 欢迎大家来到景天科技苑✨✨ 🎈🎈 养成好习惯，先赞后看哦~🎈🎈 🏆 作者简介：景天科技苑 🏆《头衔》：大厂架构师，华为云开发者社区专家博主，阿里云开发者社区专家博主，ZEEKLOG全栈领域优质创作者，掘金优秀博主，51CTO博客专家等。 🏆《博客》：Rust开发，Python全栈，Golang开发，云原生开发，PyQt5和Tkinter桌面开发，小程序开发，人工智能，js逆向，App逆向，网络系统安全，数据分析，Django，fastapi，flask等框架，云原生K8S，linux，shell脚本等实操经验，网站搭建，数据库等分享。 所属的专栏：Rust语言通关之路 景天的主页：景天科技苑 文章目录 * Rust Web开发 * 一、Actix Web框架概述 * 1.1 Actix Web的特点 * 1.2 Actix Web与其他Rust框架比较

By Ne0inhk

Apache SeaTunnel Web 完整使用指南：从零搭建可视化数据集成平台

Apache SeaTunnel Web 完整使用指南：从零搭建可视化数据集成平台 【免费下载链接】seatunnel-webSeaTunnel is a distributed, high-performance data integration platform for the synchronization and transformation of massive data (offline & real-time). 项目地址: https://gitcode.com/gh_mirrors/se/seatunnel-web Apache SeaTunnel Web 是基于 SeaTunnel Connector API 和 Zeta Engine 开发的可视化管理平台，让数据集成工作变得前所未有的简单。无论您是数据工程师、开发人员还是运维人员，这个强大的 Web 控制台都能帮助您轻松管理海量数据的同步和转换任务。

By Ne0inhk
离开舒适区之后：从三年前端到 CS 硕士——我在韩国亚大读研的得失

离开舒适区之后：从三年前端到 CS 硕士——我在韩国亚大读研的得失

过去一年多，我做了一个挺重要的决定：辞职，去韩国留学读研。 这段时间我几乎没怎么学习新的前端内容，但也没有停下来。我在韩国亚洲大学完成了计算机科学与技术（大数据）硕士的学习，在高强度的节奏里重新建立了自己的方法，也因为持续写博客获得了一些机会，担任本科 Web 实训课讲师。现在这段留学告一段落，我也准备重新回到前端领域，把这段经历当作一份额外的积累带回去。这篇复盘主要是想把这一路的收获、疲惫和一些值得记住的瞬间记录下来，留给未来的自己，也分享给路过的你。 文章目录 * 1、写在前面：我为什么会从前端转去读研 * 2、留学生活的关键词：卷、AI、被看见以及校庆的“放开玩” * 3、我的“结果卡片” * 4、得：这一年半我真正收获的东西 * 5、失：我付出的代价 * 6、期末周：我经历过的“高强度交付周” * 7、前端三年经验，如何在读研里“迁移复用” * 8、我在韩国的学习系统：

By Ne0inhk