Blazor托管API调用异常：POST请求遇CSP及400错误求助

核心问题拆解 #

1. Firefox POST请求的CSP错误：CSP是浏览器端安全策略，API服务端无需配置，自定义CSP头反而会与ASP.NET Core的ApiController默认行为冲突，导致异常响应。
2. WinForms POST返回400错误：API的POST参数未配置[FromBody]特性，无法正确解析WebClient发送的JSON请求体；同时缺少模型验证，无法定位具体错误原因。

解决方案步骤 #

1. 修复API控制器的POST方法 #

给参数添加[FromBody]特性以绑定JSON请求体，同时补充模型验证和明确的错误返回：

[ApiController]
[Route("api")]
public class ItemsController : Controller
{
    private readonly ApplicationDbContext _context;

    public ItemsController(ApplicationDbContext context)
    {
        _context = context;
    }

    [HttpGet("Items")]
    public IEnumerable<Item> Get()
    {
        return _context.Items.ToArray();
    }

    // 修正方法名语义，添加[FromBody]绑定JSON请求体
    [HttpPost("Item")]
    public async Task<ActionResult> CreateItem([FromBody] Item item)
    {
        // 先验证模型合法性，返回明确的验证错误
        if (!ModelState.IsValid)
        {
            return BadRequest(ModelState);
        }

        try
        {
            _context.Items.Add(item);
            var res = await _context.SaveChangesAsync();
            return res > 0 ? Ok() : StatusCode(StatusCodes.Status500InternalServerError, "保存数据失败");
        }
        catch (Exception ex)
        {
            // 调试阶段返回具体异常信息，生产环境需隐藏敏感内容
            return StatusCode(StatusCodes.Status500InternalServerError, $"创建数据出错: {ex.Message}");
        }
    }
}

2. 移除不必要的CSP中间件 #

CSP仅作用于浏览器环境，WinForms调用API完全不需要该配置，直接删除以下代码：

// 删掉这段无效且可能引发冲突的代码
app.Use(async (context, next) =>
{
  context.Response.Headers.Append("Content-Security-Policy", "default-src * 'unsafe-inline' 'unsafe-eval'; script-src * 'unsafe-inline' 'unsafe-eval'; connect-src * 'unsafe-inline'; img-src * data: blob: 'unsafe-inline'; frame-src *; style-src * 'unsafe-inline';");
  await next();
});

3. 修复WinForms的WebClient调用 #

确保JSON序列化正确，并添加异常捕获以获取详细错误信息：

// 先正确序列化Item对象为JSON字符串
var item = new Item { /* 填充你的Item属性 */ };
string json = System.Text.Json.JsonSerializer.Serialize(item);
// 或使用Newtonsoft.Json: JsonConvert.SerializeObject(item)

WebClient client = new WebClient();
client.Headers.Add("Content-Type", "application/json");

try
{
    var res = client.UploadData("https://localhost:7250/api/Item", "POST", Encoding.UTF8.GetBytes(json));
    string responseText = Encoding.UTF8.GetString(res);
    MessageBox.Show("请求成功: " + responseText);
}
catch (WebException ex)
{
    // 捕获并读取详细错误响应
    using (var reader = new StreamReader(ex.Response.GetResponseStream()))
    {
        string errorDetails = reader.ReadToEnd();
        MessageBox.Show("请求失败: " + errorDetails);
    }
}

调试建议 #

1. 用Postman/Swagger验证API：先通过工具发送POST请求，确认API本身能正常接收JSON并处理，若返回400，查看响应体的模型验证错误即可定位问题。
2. 检查Item类属性：确保类属性与JSON字段的名称、类型完全匹配，若有[Required]等验证特性，需保证JSON包含对应字段。
3. HTTPS证书信任：WinForms可能不信任本地API的自签名证书，调试阶段可暂时改用HTTP，生产环境再配置信任证书。

内容的提问来源于stack exchange，提问作者Kempeth