遗留VB.NET Web Forms项目：隐藏错误请求返回的堆栈跟踪

1. 完善web.config的错误配置 #

调整ASP.NET层面的customErrors #

确保<customErrors>配置兼顾浏览器与API请求，避免堆栈信息泄露：

<system.web>
  <customErrors mode="On" redirectMode="ResponseRewrite">
    <!-- 浏览器请求重定向到自定义错误页 -->
    <error statusCode="500" redirect="/ErrorPages/ServerError.aspx"/>
    <!-- 按需添加其他状态码配置 -->
  </customErrors>
  <!-- 确认全局debug关闭，无局部配置覆盖 -->
  <compilation debug="false" targetFramework="你的.NET版本"/>
  <trace enabled="false" localOnly="true"/>
</system.web>

配置IIS层面的httpErrors #

针对IIS管道早期异常（如模块级错误），禁用详细错误输出：

<system.webServer>
  <httpErrors errorMode="Custom" existingResponse="Replace">
    <remove statusCode="500" subStatusCode="-1"/>
    <!-- 针对API请求可返回JSON格式错误文件 -->
    <error statusCode="500" path="/ErrorPages/500.json" responseMode="File"/>
    <!-- 按需添加其他状态码配置 -->
  </httpErrors>
</system.webServer>

2. 在Global.asax中针对API请求做自定义错误拦截 #

通过Application_Error事件捕获异常，识别API请求后返回无堆栈的简洁响应：

Sub Application_Error(ByVal sender As Object, ByVal e As EventArgs)
    Dim lastException As Exception = Server.GetLastError()
    If lastException Is Nothing Then Exit Sub

    ' 识别API请求：可根据URL路径、请求头判断（示例为包含/api/或Accept为JSON）
    Dim isApiRequest As Boolean = 
        Request.Url.PathAndQuery.IndexOf("/api/", StringComparison.OrdinalIgnoreCase) >= 0 OrElse
        Request.Accept.IndexOf("application/json", StringComparison.OrdinalIgnoreCase) >= 0

    If isApiRequest Then
        Server.ClearError()
        Response.StatusCode = 500
        Response.ContentType = "application/json"
        ' 返回无堆栈的简洁错误信息
        Response.Write("{""error"": ""服务器内部错误，请稍后重试""}")
        Response.End()
    End If
End Sub

3. 排查代码中的手动异常输出 #

检查所有API相关页面（.aspx、.ashx）及业务逻辑，禁止直接输出Exception.ToString()（该方法包含完整堆栈）：

' 错误示例：禁止此类写法
Catch ex As Exception
    Response.Write(ex.ToString())
End Try

' 正确写法：仅输出错误消息
Catch ex As Exception
    Response.Write("操作失败：" & ex.Message)
End Try

4. 检查页面级Trace设置 #

确认所有API相关页面的指令中未开启Trace：

<!-- 错误示例：禁止开启 -->
<%@ Page Trace="true" ... %>

<!-- 正确写法 -->
<%@ Page Trace="false" ... %>

5. 验证局部配置覆盖 #

检查web.config中是否存在<location>节点，针对API路径单独开启了debug或trace，如有则删除此类配置：

<!-- 禁止此类局部配置 -->
<location path="api">
  <system.web>
    <compilation debug="true"/>
  </system.web>
</location>

内容的提问来源于stack exchange，提问作者blitzchap