ASP.NET Core中如何通过表单实现现有数据的部分更新

核心结论：不需要提前从数据库查询完整实体就能实现部分字段更新，优先推荐使用专用ViewModel配合EF Core的字段级更新配置实现，既安全又不会出现未提交字段被默认值覆盖的问题。

首推方案：专用ViewModel + 显式字段更新（无额外数据库查询） #

这个方案没有额外性能开销，还能彻底规避过绑定（Overposting）安全问题，是生产环境的标准做法。

• 第一步：定义只包含待更新字段的ViewModel，不要把数据库实体的几十个字段全搬过来，主键字段必须保留用来定位要更新的记录：

  // 只定义需要更新的字段即可，其余字段不需要加
  public class ApplicantPartialUpdateVm
  {
      [Required]
      public int Id { get; set; }
      public DateTime BirthDate { get; set; }
      [MaxLength(500)]
      public string Description { get; set; }
      [Required(ErrorMessage = "姓氏不能为空")]
      public string LastName { get; set; }
  }
  

• 第二步：表单提交后，把ViewModel映射成对应的数据库实体，通过EF Core的Attach方法附加实体，只把需要更新的字段标记为修改状态，EF Core生成SQL时只会更新这几个标记过的字段，其余字段完全保留数据库原值，不会被默认值覆盖：

  [HttpPost]
  [ValidateAntiForgeryToken]
  public async Task<IActionResult> UpdateApplicant(ApplicantPartialUpdateVm vm)
  {
      if (!ModelState.IsValid)
      {
          return View(vm);
      }
      // 手动映射，也可以用Mapster/AutoMapper做映射，只映射ViewModel里存在的字段
      var applicant = new Applicant
      {
          Id = vm.Id,
          BirthDate = vm.BirthDate,
          Description = vm.Description,
          LastName = vm.LastName
      };
      // 附加实体到上下文，此时所有字段默认是未修改状态
      _context.Attach(applicant);
      // 显式标记需要更新的字段，没标记的字段EF Core不会碰
      _context.Entry(applicant).Property(a => a.BirthDate).IsModified = true;
      _context.Entry(applicant).Property(a => a.Description).IsModified = true;
      _context.Entry(applicant).Property(a => a.LastName).IsModified = true;
      
      await _context.SaveChangesAsync();
      return RedirectToAction(nameof(Detail), new { id = vm.Id });
  }
  

• 如果你用EF Core 7.0及以上版本，可以直接用ExecuteUpdateAsync实现更轻量的更新，连实体附加的步骤都不需要，性能更高：

  // 放在ModelState校验通过之后即可
  await _context.Applicants
      .Where(a => a.Id == vm.Id)
      .ExecuteUpdateAsync(setters => setters
          .SetProperty(a => a.BirthDate, vm.BirthDate)
          .SetProperty(a => a.Description, vm.Description)
          .SetProperty(a => a.LastName, vm.LastName)
      );
  

不推荐方案：直接绑定数据库实体（存在安全风险） #

如果你不想额外定义ViewModel，也可以通过[Bind]特性指定允许绑定的字段白名单，再配合上述字段标记逻辑实现更新：

[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> UpdateApplicant(int id, 
    [Bind(nameof(Applicant.BirthDate), nameof(Applicant.Description), nameof(Applicant.LastName))] Applicant applicant)
{
    if (!ModelState.IsValid)
    {
        return View(applicant);
    }
    applicant.Id = id;
    _context.Attach(applicant);
    _context.Entry(applicant).Property(a => a.BirthDate).IsModified = true;
    _context.Entry(applicant).Property(a => a.Description).IsModified = true;
    _context.Entry(applicant).Property(a => a.LastName).IsModified = true;
    await _context.SaveChangesAsync();
    return RedirectToAction(nameof(Detail), new { id });
}

注意：这个方案的安全风险很高，一旦[Bind]的白名单漏写、写错，攻击者可以构造恶意表单提交敏感字段（比如账号状态、余额、权限标记等），直接篡改数据库里的敏感数据，生产环境不建议使用。

常见踩坑提醒 #

• 绝对不要直接调用_context.Update(绑定生成的实体)然后保存：这个方法会把实体所有字段都标记为修改状态，表单没提交的字段会被赋值为类型默认值（null/0/false等），直接把数据库里的原有数据覆盖清空。
• 不需要为了更新部分字段特意先查一次完整实体：这种写法平白多了一次数据库查询，性能差，完全可以用上述Attach或者ExecuteUpdate的方案替代，零额外查询开销。
• 不要把数据库实体直接作为视图模型传递：会导致视图层和数据库层强耦合，后续改字段的维护成本极高，也很难规避过绑定问题。

关于是否必须用ViewModel的结论 #

不是技术上“必须”，但从安全、可维护性角度强烈建议用：

• 彻底从模型绑定层阻断过绑定攻击，不需要靠白名单硬凑
• ViewModel可以独立定义和实体不同的校验规则、显示名称，不用在数据库实体上堆适配视图的特性
• 视图层和数据库层解耦，后续数据库结构调整不会直接影响视图逻辑

内容的提问来源于stack exchange，提问作者tahdhaze09