如何在Web API授权阶段解密Payload并映射至模型

方案一：自定义模型绑定器 #

通过实现自定义模型绑定器，在模型绑定阶段完成解密与反序列化，控制器直接接收解密后的模型，无需重复编写解密逻辑。

1. 实现自定义模型绑定器 #

public class EncryptedModelBinder : IModelBinder
{
    public Task BindModelAsync(ModelBindingContext bindingContext)
    {
        if (bindingContext == null)
            throw new ArgumentNullException(nameof(bindingContext));

        // 读取请求中的加密Payload
        var request = bindingContext.HttpContext.Request;
        request.Body.Position = 0; // 重置流位置
        using var reader = new StreamReader(request.Body);
        var encryptedValue = reader.ReadToEndAsync().Result;

        try
        {
            // 解密并反序列化为目标模型
            string decryptJson = AES.DecryptString(encryptedValue);
            var model = JsonConvert.DeserializeObject(decryptJson, bindingContext.ModelType);
            
            bindingContext.Result = ModelBindingResult.Success(model);
        }
        catch (Exception ex)
        {
            bindingContext.ModelState.TryAddModelError("", $"解密或反序列化失败：{ex.Message}");
            bindingContext.Result = ModelBindingResult.Failed();
        }

        return Task.CompletedTask;
    }
}

2. 注册与使用 #

• 单个控制器参数使用：

[Route("api/xxxxxx")]
[HttpPost]
public HttpResponseMessage PostTest([ModelBinder(BinderType = typeof(EncryptedModelBinder))] Model model)
{
    HttpResponseMessage response = new HttpResponseMessage();
    try
    {
        // 直接使用已解密的model进行业务操作
        // rest of the operation
    }
    catch (Exception ex)
    {
        output.Success = false;
        output.Message = Literals.GetErrorMessage(ex.Message);
    }
    response = Request.CreateResponse(HttpStatusCode.OK, JObject.FromObject(output));
    return response;
}

• 全局注册（所有指定类型自动使用该绑定器）：
  在Startup.cs的ConfigureServices中添加：

services.AddMvc(options =>
{
    options.ModelBinderProviders.Add(new CustomModelBinderProvider());
});

public class CustomModelBinderProvider : IModelBinderProvider
{
    public IModelBinder GetBinder(ModelBinderProviderContext context)
    {
        if (context.Metadata.ModelType == typeof(Model))
        {
            return new EncryptedModelBinder();
        }
        return null;
    }
}

方案二：使用DelegatingHandler（消息处理程序） #

通过自定义消息处理程序，在请求到达控制器之前修改请求内容，将解密后的JSON替换原加密内容，让默认模型绑定流程正常工作。

1. 实现DelegatingHandler #

public class DecryptionHandler : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        if (request.Content != null)
        {
            // 读取加密内容
            var encryptedValue = await request.Content.ReadAsStringAsync();
            try
            {
                // 解密
                string decryptJson = AES.DecryptString(encryptedValue);
                // 替换请求内容为解密后的JSON
                request.Content = new StringContent(decryptJson, Encoding.UTF8, "application/json");
            }
            catch (Exception ex)
            {
                // 处理解密失败，直接返回错误响应
                return request.CreateErrorResponse(HttpStatusCode.BadRequest, $"解密失败：{ex.Message}");
            }
        }
        // 继续传递请求到下一个处理环节
        return await base.SendAsync(request, cancellationToken);
    }
}

2. 注册处理程序 #

• 传统ASP.NET Web API：在WebApiConfig.cs中注册

config.MessageHandlers.Add(new DecryptionHandler());

• ASP.NET Core：在Startup.cs的ConfigureServices中添加

services.AddControllers().AddMvcOptions(options =>
{
    // 或通过注册中间件替代Handler，逻辑类似
});

3. 控制器简化写法 #

此时控制器可直接接收模型，无需额外解密逻辑：

[Route("api/xxxxxx")]
[HttpPost]
public HttpResponseMessage PostTest(Model model)
{
    HttpResponseMessage response = new HttpResponseMessage();
    try
    {
        // 直接使用model进行业务操作
        // rest of the operation
    }
    catch (Exception ex)
    {
        output.Success = false;
        output.Message = Literals.GetErrorMessage(ex.Message);
    }
    response = Request.CreateResponse(HttpStatusCode.OK, JObject.FromObject(output));
    return response;
}

注意事项 #

• 模型绑定器更灵活，可针对特定模型配置；消息处理程序偏向全局拦截，适合全接口统一解密场景。
• 需确保解密算法、密钥与客户端完全一致，避免解密失败。
• 解密失败的异常处理可根据业务需求调整，比如返回标准化错误响应或记录详细日志。

内容的提问来源于stack exchange，提问作者krish