C# Web服务抛出异常时如何隐藏StackTrace？

问题根源 #

你重写StackTrace属性无效，是因为ASMX在处理SOAP请求时，会将抛出的异常自动包装为SoapException，而SoapException的faultstring是通过调用原异常的ToString()方法生成的——这个方法默认会包含堆栈跟踪，单纯重写StackTrace属性不会影响ToString()的输出结果。

可行解决方案（无需修改客户端） #

方案1：直接抛出SoapException #

跳过自定义异常，直接构造SoapException抛出，完全控制错误信息内容：

using System.Web.Services.Protocols; // 需要引用这个命名空间

[WebMethod]
public List<Object> GetISShipments(string userToken)
{
    User user = GetUserFromToken(userToken);
    
    if (!user.CountryList.Contains("IS"))
    {
        // 直接抛出SoapException，指定错误消息和错误代码
        throw new SoapException("Access denied for country", SoapException.ServerFaultCode);
    }

    return new List<Object>();
}

这种方式下，SOAP响应的faultstring只会包含你指定的错误消息，不会附带任何堆栈信息。

方案2：重写自定义异常的ToString()方法 #

如果需要保留自定义异常的逻辑，修改ServiceException，重写ToString()方法，只返回错误消息：

[Serializable]
public class ServiceException : Exception
{
    public ServiceException() { }
    public ServiceException(string message) : base(message) { } 
    public ServiceException(string message, Exception innerException) : base(message, innerException) { }
    public ServiceException(SerializationInfo info, StreamingContext context) : base(info, context) { }

    // 重写ToString，只返回消息
    public override string ToString()
    {
        return Message;
    }
}

当ASMX将ServiceException包装为SoapException时，会调用这个重写后的ToString()，faultstring里就只会显示错误消息，不会包含堆栈跟踪。

方案3：全局异常处理（适用于多方法场景） #

如果多个Web方法都需要隐藏堆栈，可以在Global.asax中添加全局异常处理逻辑，捕获异常后手动构造SOAP响应：

protected void Application_Error(object sender, EventArgs e)
{
    Exception ex = Server.GetLastError();
    if (Context.Request.Path.EndsWith(".asmx"))
    {
        Server.ClearError();
        
        // 构造自定义SOAP错误响应
        SoapException soapEx = new SoapException(ex.Message, SoapException.ServerFaultCode);
        Context.Response.ContentType = "text/xml; charset=utf-8";
        Context.Response.StatusCode = 500;
        
        using (XmlTextWriter writer = new XmlTextWriter(Context.Response.OutputStream, Encoding.UTF8))
        {
            soapEx.WriteXml(writer);
        }
        Context.Response.End();
    }
}

这种方式可以统一处理所有ASMX服务的异常，确保所有错误响应都只包含消息。

验证效果 #

采用上述任意方案后，用SoapUI调用服务时，返回的SOAP Fault会变成类似这样：

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
  <soap:Body>
    <soap:Fault>
      <faultcode>soap:Server</faultcode>
      <faultstring>Access denied for country</faultstring>
      <detail />
    </soap:Fault>
  </soap:Body>
</soap:Envelope>

不再包含任何堆栈跟踪信息，同时客户端无需修改，仍能正常捕获异常。

内容的提问来源于stack exchange，提问作者AngryOtter