Patch、Put、Delete请求生产环境返回400错误，Post请求正常

问题现象 #

• HttpPost 请求在本地、预发布（staging）、生产（production）环境均正常响应
• HttpPatch、HttpPut、HttpDelete 请求在本地及预发布环境可正常执行，但切换到生产环境后全部返回 400 Bad Request 状态码

接口代码示例 #

[Authorize(Policy = "user_role")]
public class TestController : BaseApiController
{
    [HttpPost]
    public async Task<IActionResult> CreateTestAsync(CreateTestDTO request)
    {
        // 业务代码省略
    }

    [HttpDelete]
    public async Task<IActionResult> DeleteTestAsync(Guid schedulerID)
    {
         // 业务代码省略
    }

    [HttpPut]
    public async Task<IActionResult> UpdateTestAsync(UpdateTestDTO request)
    {
        // 业务代码省略
    }

    [HttpPatch]
    public async Task<IActionResult> ToggleTestAsync(Guid schedulerID, bool active)
    {
        // 业务代码省略
    }
 }

测试情况 #

使用Postman测试时，本地和预发布环境下创建、更新、删除操作均正常；生产环境中仅HttpPost请求可正常执行，其余三种请求返回400状态码。

生产环境请求示例：

排查方向与解决方案 #

1. 生产环境Web服务器配置限制 #

多数生产环境使用IIS或反向代理（如Nginx），部分服务器默认拦截PUT/PATCH/DELETE这类非GET/POST请求，需额外配置放行：

• IIS环境：检查是否启用WebDAV模块，该模块默认拦截此类请求，可在web.config中禁用：

<system.webServer>
  <modules runAllManagedModulesForAllRequests="false">
    <remove name="WebDAVModule" />
  </modules>
  <handlers>
    <remove name="WebDAV" />
  </handlers>
</system.webServer>

• Nginx环境：确保配置中允许目标请求方法，在location块中添加：

if ($request_method !~ ^(GET|POST|PUT|PATCH|DELETE|OPTIONS)$) {
    return 405;
}

同时排查是否有ModSecurity等安全模块拦截请求。

2. 请求参数绑定校验问题 #

生产环境可能存在参数格式错误或必填项缺失：

• 检查DeleteTestAsync、ToggleTestAsync的Guid参数传递格式是否合规（避免非Guid字符串）
• 在UpdateTestAsync接口中添加模型验证日志，返回详细错误信息定位问题：

if (!ModelState.IsValid)
{
    return BadRequest(ModelState);
}

3. 授权/认证配置差异 #

尽管HttpPost正常，但生产环境的授权策略可能对请求方法有额外限制：

• 检查user_role策略在生产环境的配置，是否存在请求方法过滤规则
• 验证非Post请求的认证头（如JWT Token）是否完整有效，部分代理可能修改或丢失请求头信息

4. HTTPS/TLS配置问题 #

生产环境普遍使用HTTPS，部分TLS版本或安全策略可能拦截特定请求方法，检查服务器TLS兼容性及相关安全配置。

内容的提问来源于stack exchange，提问作者Ocelot