在.NET 10中最小化API数据验证：Tim Corey的深度剖析

Tim Corey

10m 28s

数据验证是API开发的关键方面。 没有适当的验证，软件应用程序面临接受格式错误数据、恶意数据或无效请求的风险，导致数据损坏、安全漏洞如SQL注入、跨站脚本，甚至缓冲区溢出。 确保传入请求是格式良好的，包含预期格式，并遵守后端定义的数据类型是数据完整性、健壮错误处理和开发者信任的关键。

在视频"Minimal API Data Validation Changes in .NET 10"中，Tim Corey逐步演示了最低API的验证改进，展示了开发者如何在类和记录上实施全面验证。 Tim解释了不仅如何防止无效数据，还如何减少代码重复，简化验证逻辑，并在验证失败时返回正确的HTTP状态码。 让我们跟随Tim的演练，深入了解Minimal API中的数据验证。

Minimal API验证简介

Tim Corey首先强调，.NET 10中的Minimal APIs获得了多次升级，其中请求验证是一个关键改进。 这允许传入请求，无论是通过查询字符串、头部，还是请求体，都可以自动验证。 Tim强调，适当的验证不仅改善了开发者体验，还能防止格式错误请求到达业务逻辑，这是维护数据完整性和保护敏感信息的必要条件。

Tim还指出，他的视频是一个快速10分钟培训系列的一部分，旨在提供可操作的指导，而不是深入抽象理论。 他鼓励观众下载他的源代码以便跟随。

为验证设置一个Minimal API

为展示验证规则，Tim从一个文件新项目设置了一个Minimal API，简化它以专注于API验证。 他的示例API包括：

• 一个Hello World端点，用于测试连接。

• 一个接受Person对象的POST请求/person端点。

• 一个用于Login记录的POST请求/login端点。

Tim运行API，显示初始接受格式错误的数据。 例如，发送一个空的Person对象或在Login记录中无效的电子邮件仍然会导致成功的API响应。 这证明了需要模式验证和请求验证，以防止无效数据被后端处理。

向Minimal APIs添加验证服务< /h2>

Tim解释了实现适当验证的第一步是注册API中的验证服务：

builder.Services.AddValidation();

builder.Services.AddValidation();

通过添加此服务，路由处理程序自动对传入请求执行类型检查、格式验证和内容验证。 Tim指出，这一步是确保验证失败生成错误消息，而不是让恶意数据绕过系统的关键。

对类进行验证：以Person模型为例

Tim使用System.ComponentModel.DataAnnotations向Person类添加验证属性。 他将属性标记为必需，并通过最小长度约束强制格式验证：

[Required]
[MinLength(2)]
public string FirstName { get; } set; }

[Required]
[MinLength(2)]
public string LastName { get; } set; }

[Required]
[MinLength(2)]
public string FirstName { get; } set; }

[Required]
[MinLength(2)]
public string LastName { get; } set; }

现在运行API会触发验证错误，如果请求体缺少必填字段或包含格式错误的数据。 例如，发送一个单字符的LastName会产生一个400 Bad Request和详细的错误信息：

"字段LastName必须是长度最小为2的字符串或数组类型。"

Tim强调，使用这样的验证库可以减少代码重复，并允许开发者专注于业务逻辑而不是在每个路由处理程序中编写重复的验证逻辑。

对记录进行验证：以Login记录为例

验证记录略有不同，因为它们的属性是在构造函数中定义的。 Tim展示了如何使用[property:]语法对记录实施验证规则：

public record Login(
    [property: Required, EmailAddress] string Email,
    [property: Required, MinLength(10)] string Password,
    [property: Compare(nameof(Password))] string ConfirmPassword
);

public record Login(
    [property: Required, EmailAddress] string Email,
    [property: Required, MinLength(10)] string Password,
    [property: Compare(nameof(Password))] string ConfirmPassword
);

Tim解释的关键点：

• 电子邮件验证确保Email字段遵循正确格式。

• 密码的最小长度保护防止格式错误的请求或弱密码。

• [Compare(nameof(Password))]确保ConfirmPassword与原始Password匹配，避免数据损坏或在嵌套对象中验证失败。

Tim为登录端点运行POST请求并演示无效的电子邮件格式、短密码或不匹配的确认密码会自动触发验证错误。 一旦字段符合预期格式，API响应就会成功。

需要避免的陷阱：可访问性很重要

Tim指出一个微妙的陷阱：如果类或记录不是公开的，验证会静默失败。 即使API请求成功绑定到对象，验证结果也不会被执行：

internal record Login(...); // 验证将不会运行

internal record Login(...); // 验证将不会运行

他解释说，尽管恶意数据或无效输入可能仍然填充对象，但验证策略被绕过了。 这种行为在ASP.NET Core中有记载，但Visual Studio不警告开发者，因此定期审查验证规则并确保所有API模型都是公开的是很重要的。

使用Minimal API验证的优势

Tim总结了在Minimal APIs中使用API数据验证的好处：

1. 消除手动验证逻辑：不需要为每个属性编写重复的检查。

2. 确保数据完整性：防止格式错误的请求腐蚀后端或嵌套对象。

3. 提高安全性：减少暴露于恶意数据、SQL注入、跨站脚本和其他安全漏洞的风险。

4. 提供清晰的错误消息：返回验证失败的错误消息和正确的HTTP状态码（如400 Bad Request）。

5. 增强开发者体验：干净的、声明式的验证减少代码重复，提高对API响应的信任。

6. 支持全面验证：自动适用于请求体、查询字符串、头部和嵌套对象。

通过遵循Tim的方法，开发者可以在不编写自定义验证器方法或在多个端点重复验证逻辑的情况下，实施全面的验证。

结论

Tim Corey的视频 提供了一个实践性的、分步指导，展示如何在.NET 10的Minimal API中实施API验证。从添加验证服务到用属性装饰类和记录，以及理解潜在的陷阱，Tim演示了如何有效地执行数据完整性、格式验证和错误处理。

适当的API数据验证确保您的REST API仅处理格式良好的请求，减少恶意数据、SQL注入、跨站脚本和其他安全漏洞的风险。 使用验证规则、模式验证和适当的验证策略可以增强开发者信任，同时保持一个干净和安全的后端。

通过遵循Tim的指导，开发者可以实施一个强大、安全和可靠的验证管道，确保每个POST请求、每个对象和每个API请求都遵循预期格式，从而保护后端和终端用户。