ASP.NET Core中如何阻止Razor视图内禁用/只读输入字段的模型绑定

方案1：固定禁止修改的字段，直接用[BindNever]特性 #

这是最简单的实现，直接在不需要参与模型绑定的属性上添加[BindNever]，模型绑定器会完全忽略提交的对应字段值，不会覆盖OnGet阶段赋值的原始内容：

public class FormModel
{
    // 该属性不会参与POST的模型绑定逻辑
    [BindNever]
    public string FirstName { get; set; }
    public string LastName { get; set; }
}

同时可以配合前端disabled/readonly属性做展示层控制，无论用户是否篡改前端属性移除禁用状态，后端都不会接收提交的FirstName值，OnPost拿到的FirstName会保留OnGet阶段赋值的原值，不会出现null或者被篡改的问题。

方案2：需按角色动态控制编辑权限的场景，用自定义特性+全局过滤器实现 #

如果字段的可编辑权限和用户角色挂钩，可以通过声明式特性+全局过滤器的方式实现，无需在每个OnPost方法中写重复逻辑：

第一步：定义权限控制特性 #

[AttributeUsage(AttributeTargets.Property, AllowMultiple = false)]
public class EditableOnlyForAttribute : Attribute
{
    public string[] Roles { get; }
    public EditableOnlyForAttribute(params string[] roles)
    {
        Roles = roles;
    }
}

第二步：给模型属性加特性标记 #

public class FormModel
{
    // 仅Admin角色可修改该字段
    [EditableOnlyFor("Admin")]
    public string FirstName { get; set; }
    public string LastName { get; set; }
}

第三步：实现全局过滤器自动处理权限 #

public class EditablePermissionFilter : IPageFilter
{
    private readonly MyDbMock _db;

    public EditablePermissionFilter(MyDbMock db)
    {
        _db = db;
    }

    public void OnPageHandlerExecuting(PageHandlerExecutingContext context)
    {
        // 仅处理POST请求
        if (!HttpMethods.IsPost(context.HttpContext.Request.Method)) return;
        // 提取绑定后的表单模型
        if (!context.HandlerArguments.TryGetValue(nameof(IndexModel.FormModel), out var formObj) 
            || formObj is not FormModel submittedForm) return;

        var originalData = _db.FormModel;
        // 遍历所有属性校验权限
        foreach (var prop in typeof(FormModel).GetProperties())
        {
            var permissionAttr = prop.GetCustomAttribute<EditableOnlyForAttribute>();
            // 没有权限限制、或者当前用户在允许角色列表中，跳过处理
            if (permissionAttr == null || permissionAttr.Roles.Any(context.HttpContext.User.IsInRole))
                continue;
            // 无权限修改，还原为数据库原始值
            prop.SetValue(submittedForm, prop.GetValue(originalData));
        }
    }

    public void OnPageHandlerSelected(PageHandlerSelectedContext context) {}
    public void OnPageHandlerExecuted(PageHandlerExecutedContext context) {}
}

第四步：注册过滤器到全局 #

在Program.cs中添加过滤器配置：

builder.Services.AddRazorPages(options =>
{
    options.Filters.Add<EditablePermissionFilter>();
});

这套实现完全满足复杂嵌套模型的场景，只需要给对应层级的属性加权限特性即可，不需要修改任何业务接口的处理逻辑。

补充说明 #

前端的disabled属性会导致对应输入框的值不会被提交，这是HTML的原生规范，所以你之前遇到的FirstName提交后为null就是这个原因。如果仅需要解决null值问题不需要做权限控制，也可以把disabled换成readonly，readonly的输入框会正常提交值，但依然存在被用户篡改前端提交非法值的风险，后端绑定限制是必须的。

内容的提问来源于stack exchange，提问作者mlst