ASP.NET Core 7.0 Razor Page能否通过属性加密解密Id？

原生支持情况 #

先说结论：ASP.NET Core没有内置直接通过自定义特性（比如你示例里的[Encrypt]）自动实现渲染加密、Post解密的功能，但可以通过自定义模型绑定器+标签助手扩展来实现类似效果，也有更安全的替代方案可选。

自定义特性+模型绑定器+标签助手实现方案 #

如果你坚持要通过特性标记的方式实现需求，可以按以下步骤自定义扩展：

1. 定义加密标记特性 #

先创建一个用于标记需要加密属性的自定义特性：

[AttributeUsage(AttributeTargets.Property)]
public class EncryptAttribute : Attribute
{
    public string Salt { get; set; }
}

2. 封装加密解密工具类 #

实现安全的加密解密逻辑（示例用AES简化演示，实际项目请使用标准安全算法）：

public static class EncryptionHelper
{
    // 注意：实际项目密钥和salt不要硬编码，从配置读取
    public static string Encrypt(string plainText, string salt)
    {
        // 结合salt实现AES加密逻辑，此处为简化示例
        var combinedValue = $"{plainText}_{salt}";
        return Convert.ToBase64String(Encoding.UTF8.GetBytes(combinedValue));
    }

    public static string Decrypt(string cipherText, string salt)
    {
        try
        {
            var bytes = Convert.FromBase64String(cipherText);
            var combinedValue = Encoding.UTF8.GetString(bytes);
            var parts = combinedValue.Split('_');
            if (parts.Length == 2 && parts[1] == salt)
            {
                return parts[0];
            }
            throw new InvalidOperationException("数据篡改或salt不匹配");
        }
        catch
        {
            throw new InvalidOperationException("解密失败");
        }
    }
}

3. 自定义模型绑定器实现自动解密 #

创建模型绑定器，处理带有[Encrypt]特性的属性，在Post回发时自动解密：

public class EncryptedPropertyModelBinder : IModelBinder
{
    public Task BindModelAsync(ModelBindingContext bindingContext)
    {
        if (bindingContext == null)
            throw new ArgumentNullException(nameof(bindingContext));

        var encryptAttr = bindingContext.ModelMetadata.PropertyAttributes
            .OfType<EncryptAttribute>()
            .FirstOrDefault();

        if (encryptAttr == null)
            return Task.CompletedTask;

        var valueResult = bindingContext.ValueProvider.GetValue(bindingContext.ModelName);
        if (valueResult == ValueProviderResult.None)
            return Task.CompletedTask;

        bindingContext.ModelState.SetModelValue(bindingContext.ModelName, valueResult);

        try
        {
            var plainValue = EncryptionHelper.Decrypt(valueResult.FirstValue, encryptAttr.Salt);
            bindingContext.Result = ModelBindingResult.Success(plainValue);
        }
        catch (Exception ex)
        {
            bindingContext.ModelState.TryAddModelError(bindingContext.ModelName, ex.Message);
        }

        return Task.CompletedTask;
    }
}

注册模型绑定提供器到服务：

public class EncryptedModelBinderProvider : IModelBinderProvider
{
    public IModelBinder GetBinder(ModelBinderProviderContext context)
    {
        if (context == null)
            throw new ArgumentNullException(nameof(context));

        if (context.Metadata.PropertyAttributes.OfType<EncryptAttribute>().Any())
        {
            return new BinderTypeModelBinder(typeof(EncryptedPropertyModelBinder));
        }

        return null;
    }
}

在Program.cs中添加：

builder.Services.AddRazorPages(options =>
{
    options.ModelBinderProviders.Insert(0, new EncryptedModelBinderProvider());
});

4. 自定义标签助手实现自动加密 #

创建标签助手，在渲染asp-for标记的输入框时，自动加密带有[Encrypt]特性的属性值：

[HtmlTargetElement("input", Attributes = "asp-for")]
public class EncryptedInputTagHelper : InputTagHelper
{
    public EncryptedInputTagHelper(IHtmlGenerator generator) : base(generator)
    {
    }

    public override void Process(TagHelperContext context, TagHelperOutput output)
    {
        base.Process(context, output);

        var encryptAttr = For.Metadata.PropertyAttributes
            .OfType<EncryptAttribute>()
            .FirstOrDefault();

        if (encryptAttr != null && output.Attributes.TryGetAttribute("value", out var valueAttr))
        {
            var plainValue = valueAttr.Value.ToString();
            var encryptedValue = EncryptionHelper.Encrypt(plainValue, encryptAttr.Salt);
            output.Attributes.SetAttribute("value", encryptedValue);
        }
    }
}

在_ViewImports.cshtml中注册标签助手：

@addTagHelper *, 你的项目程序集名称

完成以上步骤后，使用<input asp-for="Input.UserId" type="hidden" />时，渲染出的value会是加密后的值，Post回发时模型绑定器会自动解密并赋值给Input.UserId。

更安全的替代方案 #

如果只是为了避免主键暴露被篡改，以下方案比前端加密更可靠：

1. 用TempData存储Id #

GET请求时将UserId存入TempData，Post时直接读取，无需前端传递：

private string _userId;

public async Task<IActionResult> OnGetAsync(string userId)
{
    _userId = userId;
    // 加载页面数据逻辑
    return Page();
}

public async Task<IActionResult> OnPostAsync()
{
    // 直接使用_userId处理业务
    // 验证ModelState等逻辑
    return RedirectToPage();
}

优点：完全避免前端接触Id，无篡改风险；缺点：仅适用于同页面的GET→Post流程，页面刷新会丢失数据。

2. 生成防篡改令牌 #

如果必须前端传递Id，可生成带签名的令牌（如JWT），确保数据未被篡改：

// GET页面时生成令牌
var tokenHandler = new JwtSecurityTokenHandler();
var key = Encoding.UTF8.GetBytes("你的安全密钥");
var token = tokenHandler.CreateJwtSecurityToken(
    claims: new[] { new Claim("userId", userId) },
    expires: DateTime.UtcNow.AddMinutes(5),
    signingCredentials: new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256)
);
var encryptedUserId = tokenHandler.WriteToken(token);

// 渲染隐藏字段
<input type="hidden" name="EncryptedUserId" value="@encryptedUserId" />

// Post时验证解析
try
{
    var principal = tokenHandler.ValidateToken(Request.Form["EncryptedUserId"], new TokenValidationParameters
    {
        ValidateIssuerSigningKey = true,
        IssuerSigningKey = new SymmetricSecurityKey(key),
        ValidateIssuer = false,
        ValidateAudience = false,
        ClockSkew = TimeSpan.Zero
    }, out _);
    var userId = principal.FindFirstValue("userId");
}
catch
{
    // 令牌验证失败，返回非法请求
    return BadRequest();
}

优点：既加密又防篡改，安全性高；缺点：需要额外处理令牌的生成与验证逻辑。

3. 使用Session存储Id #

类似TempData，将UserId存入Session，跨页面也能保留：

// GET时存储
HttpContext.Session.SetString("UserId", userId);

// Post时读取
var userId = HttpContext.Session.GetString("UserId");

优点：支持跨页面传递；缺点：依赖Session生命周期，需要配置Session服务。

注意事项 #

• 加密必须使用标准安全算法（如AES、RSA），禁止自定义弱加密逻辑。
• 密钥、salt不要硬编码，从配置文件或密钥管理服务读取。
• 无论用哪种方案，都要配合CSRF令牌验证，进一步提升请求安全性。

内容的提问来源于stack exchange，提问作者user1730289