C#如何校验并拒绝客户端传入的非UTC/GMT格式日期参数

问题根因 #

你遇到的情况是DateTime.Parse的默认行为导致的：默认配置下该方法会自动将带GMT标识的时间转换为服务器所在时区的本地时间，同时将Kind属性设置为Local，不会保留原始的UTC标识。

实现方案 #

1. 严格校验+解析UTC时间 #

推荐直接用TryParseExact做格式强校验，同时指定解析参数保证拿到的一定是UTC类型的时间，不符合格式的请求直接拒绝：

using System.Globalization;

[HttpGet]
public IActionResult Parse(string clientDateTime)
{
    // 匹配前端toUTCString()输出的RFC1123标准UTC格式
    var allowedUtcFormats = new[] { "r" };
    DateTime utcDate;

    // 严格校验格式，同时自动调整为UTC时间，Kind设为Utc
    if (!DateTime.TryParseExact(
        clientDateTime,
        allowedUtcFormats,
        CultureInfo.InvariantCulture,
        DateTimeStyles.AdjustToUniversal,
        out utcDate))
    {
        return BadRequest("datetime参数必须为符合RFC1123标准的UTC/GMT格式时间");
    }

    // 额外加一层保险判断，确保返回的一定是UTC类型
    if (utcDate.Kind != DateTimeKind.Utc)
    {
        return BadRequest("datetime参数必须为UTC/GMT时间");
    }

    return new 
    {
        ParsedDate = utcDate,
        Kind = utcDate.Kind.ToString()
    };
}

2. 多端提交规范对齐 #

明确要求所有客户端统一提交RFC1123格式的UTC时间：

• Web端：直接使用new Date().toUTCString()输出即可，天然符合格式要求
• Android、iOS端：按RFC1123格式输出带GMT后缀的UTC时间字符串，不要携带其他时区标识

额外说明 #

如果业务需要兼容其他UTC格式，可以在allowedUtcFormats数组里添加对应的格式字符串，比如ISO8601的UTC格式yyyy-MM-ddTHH:mm:ssZ，只要解析时指定DateTimeStyles.AdjustToUniversal参数，就能保证最终拿到的都是UTC类型的时间。

内容的提问来源于stack exchange，提问作者Hossein Fallah