ASP.NET Core中GetRequiredService统一处理同输出多API的安全性问询

我有多个返回相同输出类型的Get API，想创建单个方法统一处理所有请求来替代多个独立API。具体实现是让用户在InputDto中传入类名字符串，通过GetType和GetRequiredService获取目标类实例并调用其Process方法。当前功能正常，但担心GetRequiredService在实例管理、缓存及生命周期撕裂等方面的问题，于是用using (var scope = _serviceProvider.CreateScope()){}来解决释放问题，想问修改后的方法是否安全，能不能避免释放、缓存、生命周期撕裂及其他潜在问题。

原实现代码 #

public async virtual Task<List<CustomDto>> GetBaseInformationList(InputDto input)
{
    string className = input.TargetStategy;
    Type classType = Type.GetType(className);
    var strategyClass = (IStrategy)_serviceProvider.GetRequiredService(classType);
    var result = await strategyClass.Process<List<CustomDto>>(input);
    
    return result;
}

策略类示例 #

抽象基类与接口 #

public abstract class Strategy
{
    public abstract Task<List<T>> Process<T>(InputDto data);
}

public interface IStrategy
{
    Task<List<T>> Process<T>(InputDto data);
}

具体策略类 #

public class GetBaseInformation1 : Strategy, ITransientDependency, IStrategy
{
    public override async Task<List<T>> Process<T>(InputDto data)
    {
        var result= ...get data process...
        return result;
    }
}

public class GetBaseInformation2 : Strategy, ITransientDependency, IStrategy
{
    public override async Task<List<T>> Process<T>(InputDto data)
    {
        var result=... get data process...
        return result;
    }
}

修改后的方法 #

public async virtual Task<List<CustomDto>> GetBaseInformationList(InputDto input)
{
    using (var scope = _serviceProvider.CreateScope())
    {
        string className = input.TargetStategy;
        Type classType = Type.GetType(className);
        var strategyClass = (IStrategy)_serviceProvider.GetRequiredService(classType);
        var result = await strategyClass.Process<List<CustomDto>>(input);

        return result;
    }
}

你的修改并没有解决核心问题，反而可能引入新的风险，具体分析和修正方案如下：

1. 当前修改的无效点 #

你创建了新的作用域，但依然从根_serviceProvider获取服务，而非新作用域的ServiceProvider。这会导致：

• 瞬态（Transient）服务：虽然每次调用会生成新实例，但根容器的瞬态实例不会被新作用域管理，释放逻辑完全不生效。
• 作用域（Scoped）服务：如果策略类依赖了作用域服务，从根容器获取会让该服务的生命周期绑定到根容器（直到应用关闭），直接造成生命周期撕裂——本该随请求结束释放的服务被长期持有，引发内存泄漏。

2. 正确的作用域使用方式 #

要让作用域真正生效，必须从新创建的scope.ServiceProvider获取服务，修正后的代码如下：

public async virtual Task<List<CustomDto>> GetBaseInformationList(InputDto input)
{
    using (var scope = _serviceProvider.CreateScope())
    {
        string className = input.TargetStategy;
        Type classType = Type.GetType(className);
        // 从新作用域的ServiceProvider获取服务
        var strategyClass = (IStrategy)scope.ServiceProvider.GetRequiredService(classType);
        var result = await strategyClass.Process<List<CustomDto>>(input);

        return result;
    }
}

这样修改后：

• 瞬态服务：每次获取都会生成新实例，且会随作用域释放被正确回收。
• 作用域服务：会绑定到当前创建的新作用域，using块结束时作用域释放，所有该作用域内的服务都会被正确释放，彻底避免生命周期撕裂。
• 单例（Singleton）服务：本身由根容器管理，不受新作用域影响，符合依赖注入的设计规范。

3. 其他潜在问题及优化建议 #

• 类型查找风险：Type.GetType(className)如果只传入类名而非完整程序集限定名，可能找不到类型（比如类不在当前程序集时）。建议传入完整类型名，或者提前维护一个类型映射字典，避免字符串硬编码的风险。
• 类型转换安全：直接强制转换(IStrategy)可能抛出类型转换异常，建议先检查classType是否实现了IStrategy，或者用scope.ServiceProvider.GetService(classType)结合空判断后再安全转换。
• 策略模式规范实现：可以提前将所有IStrategy实现注册到容器，通过工厂类来获取实例，而非直接通过类型字符串查找，这样更符合依赖注入设计原则，也更易维护和测试。

内容的提问来源于stack exchange，提问作者Aref Hemati