如何解决API控制器中SCS0016安全警告并支持表单编码数据提交

首先明确SCS0016警告的本质：安全代码扫描工具检测到表单提交存在**跨站请求伪造（CSRF）**风险——默认情况下ASP.NET Core的API控制器不会启用CSRF保护，但使用[FromForm]时会触发该警告。以下是几种针对性的解决思路：

1. 针对非浏览器客户端场景：排除警告 #

如果你的API是供移动端、单页应用（SPA）等非浏览器表单提交的客户端调用，CSRF风险并不存在（这类客户端通常使用Token认证而非会话Cookie），可以直接抑制该警告：

方法1：代码级抑制 #

在触发警告的Action上添加抑制注释：

#pragma warning disable SCS0016 // 抑制CSRF风险警告，API客户端使用Token认证无CSRF风险
[HttpPost]
public IActionResult UpdateWeather([FromForm] WeatherForecast model)
{
    // 业务逻辑
    return Ok();
}
#pragma warning restore SCS0016

方法2：项目规则集禁用 #

在项目的.editorconfig或规则集文件中添加配置，全局或针对特定文件禁用SCS0016规则：

dotnet_diagnostic.SCS0016.severity = none

2. 针对浏览器表单提交场景：启用CSRF保护 #

如果API需要接收浏览器端的表单提交（依赖会话Cookie认证），则必须启用CSRF保护来消除警告：

步骤1：配置CSRF服务 #

在Program.cs中注册防伪造服务：

builder.Services.AddAntiforgery(options =>
{
    options.HeaderName = "X-CSRF-TOKEN"; // 自定义令牌头名称，可选
});

步骤2：在Action上添加验证特性 #

在需要接收表单的Action上添加[ValidateAntiForgeryToken]特性：

[ApiController]
[Route("api/[controller]")]
public class WeatherForecastController : ControllerBase
{
    private readonly IAntiforgery _antiforgery;

    public WeatherForecastController(IAntiforgery antiforgery)
    {
        _antiforgery = antiforgery;
    }

    // 提供令牌的接口（供前端获取）
    [HttpGet("get-csrf-token")]
    public IActionResult GetCsrfToken()
    {
        var token = _antiforgery.GetAndStoreTokens(HttpContext);
        return Ok(new { token = token.RequestToken });
    }

    [HttpPost]
    [ValidateAntiForgeryToken]
    public IActionResult UpdateWeather([FromForm] WeatherForecast model)
    {
        // 业务逻辑
        return Ok();
    }
}

步骤3：前端携带令牌 #

浏览器端提交表单时，需要将获取到的CSRF令牌通过表单隐藏字段或请求头携带：

<form method="post" action="/api/weatherforecast">
    <input type="hidden" name="__RequestVerificationToken" value="获取到的令牌值">
    <!-- 其他表单字段 -->
    <button type="submit">提交</button>
</form>

3. 同时支持JSON和表单提交的优化方案 #

如果需要同时支持application/json和application/x-www-form-urlencoded，且不想依赖[FromForm]，可以使用自定义模型绑定器：

创建一个支持两种格式的模型绑定器，然后在模型类上标记[ModelBinder(BinderType = typeof(CustomFormJsonBinder))]，实现逻辑中根据请求的Content-Type选择对应的绑定方式（此方法仅在特殊场景下推荐）。

内容的提问来源于stack exchange，提问作者Amrutha