ASP.NET Core中HTTP Post如何重新获取URL的Id与Token值

首先得明确核心问题：GET请求的参数挂在URL上，但表单POST默认只会提交表单内部的字段，不会自动携带URL里的Id和Token，所以你的POST方法自然接收不到这两个值。除了隐藏输入框，这里给你两个更简洁且安全的替代方案：

方案一：用TempData暂存验证状态（推荐） #

TempData是ASP.NET Core专门用于跨请求传递数据的机制，完美适配这种「GET验证身份→跳转表单→POST提交修改」的场景，而且不会把敏感的Token暴露在前端页面或URL中。

修改GET方法： #

验证通过后，把已确认的用户ID和Token暂存到TempData中：

[Route("resetpassword")]
public async Task<IActionResult> ResetPassword(int id, string token)
{
    if (await _profileService.VerifyUser(id, token))
    {
        // 暂存已验证的用户信息，Token后续如需二次验证也一并存储
        TempData["VerifiedResetUserId"] = id;
        TempData["ResetToken"] = token;
        return View(new ResetPasswordViewModel());
    }
    return View(new ResetPasswordViewModel { ErrorCode = 1 });
}

修改POST方法： #

从TempData中取出验证信息，按需完成密码重置逻辑：

[Route("resetpassword")]
[HttpPost]
public async Task<IActionResult> ResetPassword(string password, string confirmPassword)
{
    // 先校验TempData中的验证标记是否存在
    if (!int.TryParse(TempData["VerifiedResetUserId"]?.ToString(), out int userId) || 
        string.IsNullOrEmpty(TempData["ResetToken"]?.ToString()))
    {
        return View(new ResetPasswordViewModel { ErrorCode = 1 });
    }

    // 为了安全性，可二次验证Token有效性
    var token = TempData["ResetToken"].ToString();
    if (!await _profileService.VerifyUser(userId, token))
    {
        return View(new ResetPasswordViewModel { ErrorCode = 1 });
    }

    // 执行密码重置逻辑
    if (password == confirmPassword)
    {
        await _profileService.ResetPassword(userId, password);
        return RedirectToAction("Login");
    }

    // 若密码不一致，保留TempData以便用户重试
    TempData.Keep("VerifiedResetUserId");
    TempData.Keep("ResetToken");
    return View(new ResetPasswordViewModel { ErrorCode = 2 });
}

注意：TempData默认读取一次后就会被清除，所以如果POST失败需要返回表单页面，记得用TempData.Keep()保留数据。

方案二：将Id和Token绑定到路由参数 #

如果不想用TempData，也可以把Id和Token整合到POST请求的路由参数中，通过表单的路由绑定自动传递：

修改表单代码： #

在表单标签里添加asp-route-id和asp-route-token，绑定ViewModel中的对应值：

<form method="post" 
      asp-controller="Profile" 
      asp-action="ResetPassword" 
      asp-route-id="@Model.Id" 
      asp-route-token="@Model.Token"
      asp-route-returnUrl="@Context.Request.Query["returnUrl"]">
    <!-- 原有表单内容保持不变 -->
</form>

保持POST方法不变： #

这样POST请求的URL会自动带上id和token参数，你的POST方法就能直接接收到这两个值了。不过这个方案的缺点是Token会暴露在URL中，可能被浏览器历史、服务器日志记录，安全性不如TempData方案。

总结 #

• 追求安全性优先选TempData方案，避免敏感Token暴露；
• 想快速实现可选路由参数绑定，但要注意安全风险；
• 隐藏字段其实是最常规的方案，只要后端二次验证Token有效性，也完全可行。

内容的提问来源于stack exchange，提问作者CBreeze