ASP.NET WebAPI中List参数的[Required]验证特性未生效问题

安全阿岳

2026-9-1

问题根因

未触发预期400校验的核心原因：

Id是不可空值类型int，模型绑定时如果请求体没传这个字段，会自动赋值默认值0。[Required]特性默认只检查值是否为null，0属于合法的int值，不会被判定为缺失，自然不会触发校验失败。
你贴的TaskForUpdateDTO代码里重复声明了两次Name属性，属于语法错误，代码本身无法正常编译，需要先修复。

另外，.NET Core/.NET 5+的自动模型校验返回400能力，依赖控制器类上的[ApiController]特性，如果没加这个特性，或者在服务配置里手动开了SuppressModelStateInvalidFilter开关，就算校验不通过也不会自动返回400。

修复步骤

修正DTO定义：删除重复的Name属性，给Id字段添加范围校验，要求其值必须为大于0的正整数（更新场景下Id不可能为0），修正后的代码如下：

public class TaskForUpdateDTO
{
    [Required(ErrorMessage = "任务Id为必填项")]
    [Range(1, int.MaxValue, ErrorMessage = "请传入有效的任务Id")]
    public int Id { get; set; }
    [Required(ErrorMessage = "任务名称为必填项")]
    public string Name { get; set; }
}

确认自动模型校验配置：
1. 给控制器类添加[ApiController]特性，.NET Core 2.1及以上版本只要加了该特性，默认会在模型校验失败时自动返回400响应，不需要在每个接口里手动写判断逻辑。
2. 检查服务配置，不要关闭模型无效过滤器，.NET 6+的Program.cs配置参考如下：

var builder = WebApplication.CreateBuilder(args);
builder.Services.AddControllers()
    .ConfigureApiBehaviorOptions(options =>
    {
        // 这行如果设为true会关闭自动400返回，必须保持false或者直接删除这行配置
        // options.SuppressModelStateInvalidFilter = true;
    });

如果你因为业务需求不能开启自动校验，可以在接口内部手动判断模型状态：

[HttpPut]
public ActionResult<List<TaskDTO>> Put([FromBody] List<TaskForUpdateDTO> tasks )
{
    if (!ModelState.IsValid)
    {
        return BadRequest(ModelState);
    }
    List<TaskBO> tasksForUpdate = TaskForUpdateDTO.MapToBOList(tasks);
    tasksForUpdate = _serviceManager.TaskService.Update(tasksForUpdate);

    if (tasksForUpdate is null) return NotFound();

    return Ok(TaskDTO.MapToDTOList(tasksForUpdate));
}

验证结果：修改完成后重新发送不带Id字段的PUT请求，接口就会按预期返回400 Bad Request，响应体会包含具体的字段校验错误信息。

注：你当前请求体中传入的UserId字段在DTO中没有定义，模型绑定阶段会自动忽略该字段，不会影响校验逻辑。

内容的提问来源于stack exchange，提问作者Ataa Aub