如何阻止ASP.NET Core Minimal API报错时返回完整堆栈跟踪

先说说你现有代码的问题 #

1. 外层包裹app.MapPost的try-catch完全没用——这部分代码是应用启动时注册端点的逻辑，不会捕获请求处理阶段的异常，属于无效代码。
2. 内层的try-catch虽覆盖了请求处理逻辑，但存在两个漏洞：
   • 未处理JsonSerializer.Deserialize返回null的情况，后续调用processData可能抛出空引用异常；
   • 无法捕获进入委托之前的异常（比如授权失败、请求绑定错误等场景），这类异常会绕过内层try-catch，最终返回堆栈信息。

可行的解决方案 #

方案1：全局异常处理（推荐） #

通过中间件统一捕获所有未处理的异常，返回自定义错误响应，彻底杜绝堆栈泄露。在Program.cs里将异常处理中间件注册在其他核心中间件之前（比如app.UseAuthorization()）：

app.UseExceptionHandler(errorApp =>
{
    errorApp.Run(async context =>
    {
        context.Response.StatusCode = StatusCodes.Status500InternalServerError;
        context.Response.ContentType = "application/json";

        // 获取异常信息
        var exceptionFeature = context.Features.Get<IExceptionHandlerPathFeature>();
        var ex = exceptionFeature?.Error;

        // 记录异常（生产环境建议用专业日志框架，比如Serilog）
        Console.WriteLine($"发生错误：{ex?.Message}\n{ex?.StackTrace}");

        // 返回不含堆栈的自定义响应
        await context.Response.WriteAsJsonAsync(new
        {
            Code = 500,
            Msg = "服务器内部错误，请稍后重试"
        });
    });
});

// 后续注册其他中间件
app.UseAuthorization();
// ...其他业务代码

方案2：端点过滤器（针对单个接口） #

如果只想给特定接口做异常处理，用端点过滤器替代try-catch，代码更整洁：

先定义异常处理过滤器：

public class ExceptionFilter : IEndpointFilter
{
    public async ValueTask<object?> InvokeAsync(EndpointFilterInvocationContext context, EndpointFilterDelegate next)
    {
        try
        {
            return await next(context);
        }
        catch (Exception ex)
        {
            Console.WriteLine($"接口错误：{ex.Message}\n{ex.StackTrace}");
            return Results.Problem("服务器内部错误", statusCode: 500);
        }
    }
}

然后在注册端点时添加过滤器：

app.MapPost("/sendUpdates", [Authorize] async (IDataService dataService, HttpRequest request) => {
    string bodyStr = await new StreamReader(request.Body).ReadToEndAsync();
    bodyStr = bodyStr.Replace("while(1);", "");
    
    DataUpdateDTO? cellphoneData = JsonSerializer.Deserialize<DataUpdateDTO>(bodyStr);
    // 新增空值校验，提前返回错误
    if (cellphoneData == null)
    {
        return Results.BadRequest("请求数据格式无效");
    }
    
    return await dataService.processData(cellphoneData);
})
.AddEndpointFilter<ExceptionFilter>(); // 绑定过滤器

方案3：优化现有端点内的try-catch #

如果不想修改全局逻辑，至少补全内层try-catch的漏洞：

app.MapPost("/sendUpdates", [Authorize] async (IDataService dataService, HttpRequest request) => {
    try {
        string bodyStr = await new StreamReader(request.Body).ReadToEndAsync();
        bodyStr = bodyStr.Replace("while(1);", "");
        
        DataUpdateDTO? cellphoneData = JsonSerializer.Deserialize<DataUpdateDTO>(bodyStr);
        if (cellphoneData == null)
        {
            return Results.BadRequest("无效的请求数据");
        }
        
        return await dataService.processData(cellphoneData);
    } catch (Exception ex){
        Console.WriteLine($"错误详情：{ex.Message}\n{ex.StackTrace}");
        // 返回明确的错误响应，而非仅状态码
        return Results.Problem("服务器内部错误", statusCode: 500);
    }
});

注意：该方案仍无法捕获进入委托前的异常（如授权失败），优先级低于前两个方案。

额外提醒 #

开发环境下ASP.NET Core默认启用开发者异常页面，即使添加了处理逻辑，可能仍会看到堆栈信息——但生产环境默认不会返回堆栈。全局异常处理中间件可强制覆盖这一行为，无论开发还是生产环境，都返回自定义响应。

内容的提问来源于stack exchange，提问作者TarHalda