ASP.NET Core HttpPost带默认值可选Header参数被判定为必填问题

未传Header触发400错误的核心和ASP.NET Core [ApiController] 的默认约定、可空引用类型推断规则、C#参数默认值生效时机直接相关，具体逻辑如下：

• 所有标注[ApiController]的控制器默认开启自动模型验证拦截：模型绑定阶段如果判定参数校验不通过，会直接返回400响应，不会执行接口方法内部代码，写在方法参数上的C#语言层面默认值没有机会生效。
• .NET 6及以上版本默认开启可空引用类型（NRT）校验时，框架会根据参数类型的可空性自动推断参数是否必填：
  • 不可空引用类型（比如不带?的string）：框架会隐式给参数追加[Required]校验规则，标记为必填参数。当请求未携带Origin请求头时，模型绑定器找不到对应来源的值，会直接判定必填参数缺失，给参数赋值null后触发校验错误，返回400响应。
  • 可空引用类型（比如带?的string?）：框架不会隐式追加[Required]规则，识别为可选参数。此时如果请求未携带Origin头，模型绑定器找不到对应值，会正常使用参数上定义的默认值"Unknown"完成赋值，不会触发校验拦截。

触发错误的问题代码 #

[HttpPost]
[Route("route")]
public async Task<IActionResult> GetThingsAsync(
    [FromBody] SomeRequest someRequest,
    // 不可空string被隐式标记为必填，缺失Header时直接触发验证，默认值不生效
    [FromHeader(Name = "Origin")] string origin = "Unknown")
{
    // 未携带Origin头时，代码不会执行到此处
}

修复后代码 #

[HttpPost]
[Route("route")]
public async Task<IActionResult> GetThingsAsync(
    [FromBody] SomeRequest someRequest,
    // 可空string?被识别为可选参数，缺失Header时正常使用默认值
    [FromHeader(Name = "Origin")] string? origin = "Unknown")
{
    // 未携带Origin头时，origin会被赋值为"Unknown"，正常执行后续逻辑
}

补充说明：如果不想将参数修改为可空类型，也可以显式给参数标注[FromHeader(Name = "Origin", Required = false)]关闭该参数的必填校验，效果和修改为string?一致，不过使用可空类型匹配框架约定是更推荐的写法。

内容的提问来源于stack exchange，提问作者strange-bell