ASP.NET Core 5 如何隐藏自动400响应中泄露的自定义类名实现细节

你可以通过修改默认的自动400响应逻辑，移除错误信息中的命名空间、类名等实现细节，操作如下：

方法一：全局关闭输入格式化异常详情输出 #

这是最简单的方案，直接禁止将序列化/转换的详细异常信息写入模型验证结果：
在Startup.cs的ConfigureServices方法中添加如下配置：

services.AddControllers()
    .AddJsonOptions(options =>
    {
        // 禁用输入格式化器的异常详情输出，从根源避免泄露实现细节
        options.AllowInputFormatterExceptionMessages = false;
    });

如果你的项目使用Newtonsoft.Json做序列化，替换为以下配置：

services.AddControllers()
    .AddNewtonsoftJson(options =>
    {
        options.AllowInputFormatterExceptionMessages = false;
    });

配置后，原有的类名转换错误会自动替换为通用的输入无效提示，不会暴露任何内部实现信息。

方法二：自定义错误响应逻辑（灵活控制输出内容） #

如果需要自定义错误提示文案，或者保留部分非敏感错误信息，可以重写API行为的无效模型响应工厂：

services.AddControllers()
    .ConfigureApiBehaviorOptions(options =>
    {
        options.InvalidModelStateResponseFactory = context =>
        {
            var problem = new ProblemDetails
            {
                Status = StatusCodes.Status400BadRequest,
                Title = "请求参数错误",
                Detail = "提交的参数格式或内容不符合接口要求，请检查后重试"
            };
            // 如需自定义字段级错误提示，可在此处遍历context.ModelState处理后写入problem.Extensions
            return new BadRequestObjectResult(problem)
            {
                ContentTypes = { "application/problem+json" }
            };
        };
    });

以上两种方案均仅作用于API控制器，符合你的项目场景，你可以根据需求选择使用。

内容的提问来源于stack exchange，提问作者lonix