如何在WebAPI中检测Post请求FromBody负载中不匹配POCO的额外属性

这个需求我之前做项目时刚好碰到过，.NET WebAPI默认确实会默默忽略请求里的额外属性，但要捕获到这些“多余字段”其实有几种实用的方案，我给你详细说说：

不管你用的是Json.NET（旧版WebAPI默认）还是System.Text.Json（.NET Core 3.0+默认），都有专门的特性来捕获未匹配的属性，不需要额外写太多代码。

比如修改你的Input类，加一个标记了扩展特性的字典：

// 如果你用Json.NET（Newtonsoft.Json）
public class Input 
{
    public string Name { get; set; }
    
    // 这个字典会自动接收所有未定义的属性
    [Newtonsoft.Json.JsonExtensionData]
    private IDictionary<string, Newtonsoft.Json.Linq.JToken> _extraProperties;
}

// 如果你用System.Text.Json（.NET Core默认）
public class Input 
{
    public string Name { get; set; }
    
    [System.Text.Json.Serialization.JsonExtensionData]
    private IDictionary<string, System.Text.Json.JsonElement> _extraProperties;
}

然后在控制器里，你就可以直接检查这个字典：

public void Post([FromBody]Input value)
{
    // 先判断是否有额外属性
    if (value._extraProperties != null && value._extraProperties.Any())
    {
        // 记录日志，把所有多余字段列出来
        var extraFields = string.Join(", ", value._extraProperties.Keys);
        _logger.LogWarning("客户端发送了未定义的属性：{ExtraFields}", extraFields);
        
        // 也可以通过响应头告知客户端
        Response.Headers.Add("X-Undefined-Fields", extraFields);
    }
    
    // 正常处理业务逻辑
}

这种方法的好处是侵入性低，只需要修改对应的POCO类，适合单个模型的需求。

如果不想修改POCO类，或者需要对特定模型做定制化的额外属性检测，可以自定义模型绑定器。

举个用System.Text.Json实现的例子：

public class ExtraPropertiesBinder : IModelBinder
{
    private readonly ILogger<ExtraPropertiesBinder> _logger;

    public ExtraPropertiesBinder(ILogger<ExtraPropertiesBinder> logger)
    {
        _logger = logger;
    }

    public async Task BindModelAsync(ModelBindingContext bindingContext)
    {
        var httpContext = bindingContext.HttpContext;
        // 读取原始请求体
        using var reader = new StreamReader(httpContext.Request.Body);
        var rawJson = await reader.ReadToEndAsync();
        
        // 反序列化为目标模型
        var model = JsonSerializer.Deserialize(rawJson, bindingContext.ModelType);
        
        // 解析JSON里的所有属性名
        var jsonDoc = JsonDocument.Parse(rawJson);
        var allRequestFields = jsonDoc.RootElement.EnumerateObject().Select(p => p.Name);
        
        // 获取目标模型的所有公共属性名
        var modelFields = bindingContext.ModelType.GetProperties(BindingFlags.Public | BindingFlags.Instance)
            .Select(p => p.Name);
        
        // 找出差异（忽略大小写，避免客户端大小写不一致的问题）
        var extraFields = allRequestFields.Except(modelFields, StringComparer.OrdinalIgnoreCase).ToList();
        
        if (extraFields.Any())
        {
            _logger.LogWarning("检测到未定义属性：{Fields}", string.Join(", ", extraFields));
            httpContext.Response.Headers.Add("X-Undefined-Fields", string.Join(", ", extraFields));
        }
        
        // 把绑定好的模型返回
        bindingContext.Result = ModelBindingResult.Success(model);
    }
}

然后在控制器参数上标记使用这个绑定器：

public void Post([ModelBinder(BinderType = typeof(ExtraPropertiesBinder))]Input value)
{
    // 业务逻辑处理
}

如果想对所有POST请求统一检测额外属性，不用逐个模型配置，那全局Action Filter是最佳选择。

先创建一个Filter类：

public class DetectExtraPropertiesFilter : IActionFilter
{
    private readonly ILogger<DetectExtraPropertiesFilter> _logger;

    public DetectExtraPropertiesFilter(ILogger<DetectExtraPropertiesFilter> logger)
    {
        _logger = logger;
    }

    public void OnActionExecuting(ActionExecutingContext context)
    {
        // 获取当前请求的模型（假设只有一个FromBody参数）
        var requestModel = context.ActionArguments.Values.FirstOrDefault(v => v != null);
        if (requestModel == null) return;
        
        // 允许重读请求体（默认请求体只能读一次，必须配置这个）
        context.HttpContext.Request.EnableBuffering();
        using var reader = new StreamReader(context.HttpContext.Request.Body, leaveOpen: true);
        var rawJson = reader.ReadToEndAsync().Result;
        // 重置请求体位置，让后续的模型绑定能正常读取
        context.HttpContext.Request.Body.Position = 0;
        
        // 解析所有请求字段和模型字段
        var jsonDoc = JsonDocument.Parse(rawJson);
        var allRequestFields = jsonDoc.RootElement.EnumerateObject().Select(p => p.Name);
        var modelFields = requestModel.GetType().GetProperties(BindingFlags.Public | BindingFlags.Instance)
            .Select(p => p.Name);
        
        var extraFields = allRequestFields.Except(modelFields, StringComparer.OrdinalIgnoreCase).ToList();
        
        if (extraFields.Any())
        {
            _logger.LogWarning("请求包含未定义属性：{Fields}", string.Join(", ", extraFields));
            context.HttpContext.Response.Headers.Add("X-Undefined-Fields", string.Join(", ", extraFields));
        }
    }

    public void OnActionExecuted(ActionExecutedContext context)
    {
        // 这里可以处理请求执行后的逻辑，比如异常处理
    }
}

然后在Program.cs（.NET 6+）里注册全局过滤器：

builder.Services.AddControllers(options =>
{
    options.Filters.Add<DetectExtraPropertiesFilter>();
});

// 别忘了配置允许重读请求体
app.Use(async (context, next) =>
{
    context.Request.EnableBuffering();
    await next();
});

这样所有的POST请求都会自动检测额外属性，非常适合全局统一管控的场景。

内容的提问来源于stack exchange，提问作者user2719430