DTO包含主键时，为何仍在WebAPI中使用路由参数？

在WebAPI控制器中经常会看到这样的写法：

[HttpPut]
MyPutMethod(int id, SomeDTO dto){
   //update record with record.id == id
   //etc.
}

我的DTO中已经包含名为id的成员，所以我疑惑为什么要在URL路径中指定对象主键，而不是直接使用DTO里的id参数？

原因解析 #

• 符合RESTful设计规范：REST风格里，URL的核心作用是定位具体资源，PUT方法用于更新指定资源。把主键放在URL路径中（比如/api/entities/{id}），能让请求语义一目了然——谁看到这个URL都知道是要更新ID为{id}的资源，完全贴合"资源驱动"的设计思路。
• 提升请求安全性：如果只依赖DTO中的id，一旦请求被篡改（比如中间人攻击修改了DTO里的id值），服务器很可能误更新其他无关资源。把URL中的id和DTO里的id做一致性校验，能有效避免这类低级错误，大幅提升接口安全性。
• 路由与权限控制更高效：URL是请求的第一道入口，把主键放在路径里，路由规则更直观，还能在网关或路由层面提前做权限拦截（比如限制用户只能操作自己名下ID的资源），不用等到解析完DTO再做校验，性能和逻辑清晰度都更优。
• 保持API风格统一：通常GET获取单个资源、DELETE删除资源都会用路径主键，PUT更新资源沿用同样的结构，能让整个API的风格保持统一，客户端开发者更容易理解和遵循调用规则。

内容的提问来源于stack exchange，提问作者immutabl