Azure API Management策略异常：检查请求体参数时触发500错误

问题分析 #

你的策略代码存在以下几个直接导致500错误的问题：

• 空引用异常风险：在set-variable中直接访问context.Request.Body.As<JObject>(preserveContent: true)["location"]["id"]，若请求体无location属性，["location"]返回null，再访问["id"]会触发空引用异常。
• 条件判断逻辑错误：context.Request.Body.As<JObject>(true)["location"].Value<string>()试图将location对象转为字符串，会返回null导致条件判断失效；同时若location不存在，此处也会触发空引用。
• 未定义变量引用：send-request中的set-body引用了未定义的newRequest变量，执行时抛出变量不存在异常。
• 重复解析请求体：多次调用context.Request.Body.As<JObject>()，即便启用preserveContent，也可能引发潜在解析问题。

修复方案 #

以下是修正后的完整策略代码，附关键修改说明：

<!-- 缓存请求体到变量，避免重复解析 -->
<set-variable name="request-body" value="@(context.Request.Body.As<JObject>(preserveContent: true))" />

<!-- 安全获取location.id，逐层判断避免空引用 -->
<set-variable name="location-id" value="@(
    var body = (JObject)context.Variables["request-body"];
    return body.ContainsKey("location") && body["location"] is JObject locationObj && locationObj.ContainsKey("id") 
        ? locationObj["id"].ToString() 
        : string.Empty;
)" />

<choose>
    <!-- 用location-id变量是否为空作为判断条件，逻辑更可靠 -->
    <when condition="@(!string.IsNullOrEmpty((string)context.Variables["location-id"]))">     
        <send-request mode="new" timeout="20" response-variable-name="location-response" ignore-error="false">
            <set-url>@($"https://api.dev.com/external/location/location/{(string)context.Variables["location-id"]}")</set-url>
            <set-method>GET</set-method>
            <set-header name="Content-Type" exists-action="override">
                <value>application/json</value>
            </set-header>
            <set-header name="Authorization" exists-action="override">
                <value>@(context.Request.Headers.GetValueOrDefault("Authorization","scheme param"))</value>
            </set-header>
            <!-- GET请求无需请求体，移除错误的set-body节点 -->
        </send-request>
    </when>
    <otherwise />
</choose>

关键修改点 #

1. 缓存请求体：一次性解析请求体并缓存到request-body变量，避免多次解析的性能损耗和潜在异常。
2. 安全取值：通过ContainsKey逐层检查location对象和id属性是否存在，彻底避免空引用异常。
3. 修正判断逻辑：直接使用location-id变量是否为空作为触发条件，逻辑简洁且可靠。
4. 移除无效节点：删除引用未定义变量的set-body节点，这是触发500错误的直接原因之一。
5. 优化变量命名：将locationid改为location-response，语义更清晰。

额外建议 #

• 开启APIM详细日志：在APIM实例的诊断设置中启用请求追踪，查看具体异常堆栈信息，快速定位问题。
• 添加错误处理：在策略中加入<on-error>节点，捕获异常并返回更友好的错误信息，避免直接返回500。

内容的提问来源于stack exchange，提问作者Shree