ASP.NET Core Web API中[FromBody]对象能否用ModelState.IsValid验证？

在接收[FromBody] JSON对象的ASP.NET Core Web API中，是否可以使用ModelState.IsValid进行验证？还是应当自行编写验证方法？这类不依赖MVC或Blazor、仅处理客户端UI模块GET/POST请求的API，该如何开展验证？

当前项目需通过Newtonsoft将原始JSON解析为C# DTO类，未使用ORM框架。还有以下疑问：

1. 是否需要自行编写项目内的验证方法？
2. 是否存在支持类参数注解（类似模型验证机制）的第三方库？
3. 这类ASP.NET Core Web API的验证有什么最佳实践或模式？

注：了解需在UI和API层都做参数验证。当前控制器方法、DTO及前端AJAX请求实现如下：

控制器方法代码 #

[HttpPost]
[Route("SubmitNewRecord")]
public ActionResult SubmitNewRecord([FromBody] object PostValues)
{
    ExampleAPI.Model.MyInfo submitNewRecordDataRequest = null;

    if (PostValues != null)
    {
        // Newtonsoft.Json.Linq;
        JObject PostObject = (JObject)PostValues;

        // Converting the raw incoming object PostValues to MyInfo class object:
        submitNewRecordDataRequest = JsonConvert.DeserializeObject<ExampleAPI.Model.MyInfo>(PostObject.ToString());
    }
    else
    {
        response.ResultCode = "-12";
        response.ResultMessage = "Incoming message was empty (null) - " + DateTime.Now;

        _logger.LogCritical("Incoming message was empty (null)- " + DateTime.Now);
        return new JsonResult(response);
    }

    // HERE I would like to use Model.IsValid...
    // just putting a Model.IsValid check here is not working obviously.
    if (ModelState.IsValid)  
    {  
        // Do stuff with the new MyInfo DTO (submitNewRecordDataRequest)
    } 
    else 
    {
        // throw error and send special response message.
    }        
}

DTO代码 #

using System.ComponentModel.DataAnnotations;

namespace MyApi.DTOs
{
    public class MyInfo 
    {
        public int Id { get; set; }

        [Required]
        public string Name { get; set; }

        public decimal Price { get; set; }

        [Range(0, 999)]
        public double Weight { get; set; }

        [Required]
        [StringLength(1000)]
        public string Annotation{ get; set; }
    }
}

前端AJAX请求代码 #

$.ajax({
        url: url,
        type: 'POST',
        headers: { "X-CSRF": "1" },
        async: true,
        cache: false,
        data: data,
        dataType: "json",
        contentType: "application/json; charset=utf-8",
        timeout: tmout,
        success: fsuccess,
        error: ferror
    });

目前直接使用ModelState.IsValid无效，希望得到合适的验证方案。

为什么ModelState.IsValid当前无效？ #

你当前控制器接收的参数是object PostValues，ASP.NET Core的自动模型绑定与验证机制仅对强类型参数生效。由于你手动将object转换为MyInfo实例，这个过程框架不会自动触发验证逻辑，因此ModelState.IsValid无法返回正确的验证结果。

针对疑问的具体解答 #

1. 是否需要自行编写项目内的验证方法？ #

不一定。可以直接利用ASP.NET Core自带的System.ComponentModel.DataAnnotations（你已经在DTO中使用了相关注解）实现自动验证，无需完全手写验证逻辑。只有当自带注解无法满足复杂业务规则时，再考虑补充自定义验证方法或特性。

2. 是否存在支持类参数注解的第三方库？ #

有不少成熟的第三方验证库可选：

• FluentValidation：通过流畅的链式API编写验证规则，比DataAnnotations更灵活，支持复杂逻辑，可与ASP.NET Core集成实现自动验证。
• ValidationPipeline：轻量级验证管道库，适合构建分层的验证逻辑体系。
• CSLA .NET：若采用领域驱动设计风格，它提供了内置的领域对象验证框架。

3. ASP.NET Core Web API验证的最佳实践 #

（1）使用强类型参数接收请求体

直接将控制器参数改为你的DTO类型，框架会自动完成模型绑定与验证，ModelState.IsValid即可正常工作：

[HttpPost]
[Route("SubmitNewRecord")]
public ActionResult SubmitNewRecord([FromBody] MyInfo submitNewRecordDataRequest)
{
    if (submitNewRecordDataRequest == null)
    {
        response.ResultCode = "-12";
        response.ResultMessage = $"Incoming message was empty (null) - {DateTime.Now}";
        _logger.LogCritical($"Incoming message was empty (null)- {DateTime.Now}");
        return new JsonResult(response);
    }

    if (ModelState.IsValid)
    {
        // 执行业务逻辑
        return Ok();
    }
    else
    {
        // 收集并返回具体验证错误
        var errors = ModelState.Values.SelectMany(v => v.Errors)
                                      .Select(e => e.ErrorMessage)
                                      .ToList();
        response.ResultCode = "-10";
        response.ResultMessage = "参数验证失败";
        response.Errors = errors;
        return new JsonResult(response);
    }
}

（2）启用自动验证过滤器（可选）

给控制器添加[ApiController]特性，或在Program.cs中配置全局自动验证，框架会在模型验证失败时自动返回400错误响应，无需手动判断ModelState.IsValid：

// Program.cs 配置
builder.Services.AddControllers()
                .AddNewtonsoftJson(); // 适配你使用的Newtonsoft.Json

// 控制器添加特性
[ApiController]
public class YourController : ControllerBase
{
    // 接口方法
}

（3）手动验证DTO（若必须手动解析JSON）

如果因特殊需求必须手动解析JSON到DTO，可以使用Validator.TryValidateObject手动触发验证：

using System.ComponentModel.DataAnnotations;

// 手动解析完成后执行验证
var validationContext = new ValidationContext(submitNewRecordDataRequest);
var validationResults = new List<ValidationResult>();
bool isValid = Validator.TryValidateObject(
    submitNewRecordDataRequest, 
    validationContext, 
    validationResults, 
    validateAllProperties: true
);

if (isValid)
{
    // 执行业务逻辑
}
else
{
    // 处理验证错误，validationResults包含所有失败信息
    var errors = validationResults.Select(r => r.ErrorMessage).ToList();
    // 返回错误响应
}

（4）分层验证

• 基础参数验证（必填、格式、范围限制）放在API层，用DataAnnotations或FluentValidation处理。
• 复杂业务规则验证（如数据唯一性、关联业务逻辑）放在服务层，避免与API层耦合。

（5）返回清晰的错误信息

验证失败时，返回包含具体错误字段和提示的响应，方便前端定位问题，避免仅返回模糊的“参数错误”。

内容的提问来源于stack exchange，提问作者CuriousGeo66