Razor页面OnGetAsync方法密码参数在移动端获取为null求助

核心原因 #

1. 移动端浏览器安全拦截：主流移动端浏览器（如Chrome、Safari）会自动识别URL中的敏感字段（如password），出于安全防护目的直接清空或拦截该参数，防止密码通过URL被历史记录、服务器日志等捕获。PC端浏览器的安全限制相对宽松，所以能正常获取参数。
2. GET请求传递敏感数据的缺陷：GET请求的参数会明文暴露在URL中，本身不符合安全规范；同时URL有长度限制，若密码包含特殊字符，即使编码也可能在传输中被截断或解析失败，移动端的URL解析规则更严格，容易导致参数丢失。
3. 编码方法可能存在问题：如果你的@encode方法没有实现标准的URL编码（比如未使用Uri.EscapeDataString），当密码包含&、=、空格等特殊字符时，会破坏URL的参数结构，导致后端无法正确解析paramPassword。

解决方案 #

推荐方案：改用POST请求传递参数

将登录按钮改为表单提交，用POST方式发送数据，彻底避免密码出现在URL中，绕过浏览器的安全拦截：

<NotAuthorized>
    <form method="post" action="/login">
        <input type="text" 
               placeholder="User Name" 
               @bind="@Username" 
               name="paramUsername" />
        &nbsp;&nbsp;
        <input type="password" 
               placeholder="Password" 
               @bind="@Password" 
               name="paramPassword" />
        <button class="ml-md-auto btn btn-primary" type="submit">Login</button>
    </form>
</NotAuthorized>

后端对应修改为OnPostAsync方法：

public async Task<IActionResult> OnPostAsync(string paramUsername, string paramPassword)
{
    // 你的登录验证逻辑
}

临时方案：修复URL编码（不推荐，仍存在安全风险）

如果必须使用GET请求，确保编码方法使用标准的URL编码规则：

private string encode(string value)
{
    return Uri.EscapeDataString(value ?? string.Empty);
}

但即使修复编码，移动端浏览器的安全拦截依然可能导致参数丢失，因此强烈建议使用POST方案。

内容的提问来源于stack exchange，提问作者plaguebreath