如何禁用ASMX WebService部分方法并隐藏文档、限制请求？

针对你的需求——禁用ASMX WebService中的部分方法（保留代码、不在文档显示、拦截外部请求），我整理了两种可行的方案，根据你的实际场景选择：

方案1：快速临时禁用（最简单） #

如果只是临时禁用，未来启用时只需少量改动，直接注释掉目标方法的[WebMethod]属性即可：

// 注释掉WebMethod属性，方法就不会被暴露为Web服务
// [WebMethod]
public string MethodToDisable()
{
    // 原有代码保留
    return "Some result";
}

• 效果：该方法会从ASMX的自动生成文档中消失，同时无法通过SOAP/HTTP请求调用（因为没有标记[WebMethod]，ASP.NET不会把它当作Web服务方法处理）。
• 优点：零额外代码，操作简单，未来启用只需取消注释。
• 缺点：如果需要批量管理多个禁用方法，或者希望在代码层面保留[WebMethod]标记（比如注释容易被误删），这种方式不够灵活。

方案2：代码级拦截（优雅且可管理） #

如果需要保留[WebMethod]标记，或者批量管理禁用方法，推荐通过自定义基类+请求拦截的方式实现：

步骤1：隐藏方法从ASMX帮助文档 #

创建一个自定义WebService基类，重写GetWebMethodData方法过滤掉禁用的方法：

using System.Collections.Generic;
using System.Web.Services;
using System.Web.Services.Protocols;
using System.Linq;

public class DisabledMethodsWebService : WebService
{
    // 在这里维护需要禁用的方法名列表
    protected readonly List<string> DisabledMethodNames = new List<string>
    {
        "MethodToDisable1",
        "MethodToDisable2"
    };

    protected override WebMethodData GetWebMethodData()
    {
        var originalData = base.GetWebMethodData();
        // 过滤掉禁用的方法，不在帮助文档中显示
        originalData.Methods = originalData.Methods
            .Where(method => !DisabledMethodNames.Contains(method.MethodInfo.Name))
            .ToList();
        return originalData;
    }
}

然后让你的WebService继承这个基类：

public class WebService1 : DisabledMethodsWebService
{
    [WebMethod]
    public string ActiveMethod()
    {
        return "This method is active";
    }

    [WebMethod]
    public string MethodToDisable1()
    {
        return "This method is disabled";
    }
}

步骤2：拦截并拒绝禁用方法的请求 #

即使方法不在文档中，知道方法名的人仍可能通过SOAPUI/Fiddler发送请求，因此需要在请求处理阶段拦截：

在刚才的自定义基类中重写ProcessRequest方法，解析请求中的方法名并判断是否禁用：

using System.Xml;
using System.IO;

public override void ProcessRequest(HttpContext context)
{
    string requestedMethod = GetRequestedMethodName(context);
    if (!string.IsNullOrEmpty(requestedMethod) && DisabledMethodNames.Contains(requestedMethod))
    {
        // 返回403禁止访问
        context.Response.StatusCode = 403;
        context.Response.StatusDescription = "Requested method is disabled";
        context.Response.ContentType = "text/plain";
        context.Response.Write("This web service method has been disabled.");
        context.Response.End();
        return;
    }

    base.ProcessRequest(context);
}

// 解析请求中的方法名（支持GET和SOAP POST请求）
private string GetRequestedMethodName(HttpContext context)
{
    // GET请求通过op参数传递方法名
    if (context.Request.HttpMethod.Equals("GET", StringComparison.OrdinalIgnoreCase))
    {
        return context.Request.QueryString["op"];
    }

    // SOAP POST请求需要解析XML信封中的方法名
    if (context.Request.HttpMethod.Equals("POST", StringComparison.OrdinalIgnoreCase) &&
        context.Request.ContentType.StartsWith("text/xml", StringComparison.OrdinalIgnoreCase))
    {
        context.Request.InputStream.Position = 0; // 重置流位置，避免后续读取失败
        using (var reader = new StreamReader(context.Request.InputStream))
        {
            var soapXml = reader.ReadToEnd();
            var doc = new XmlDocument();
            doc.LoadXml(soapXml);

            var nsManager = new XmlNamespaceManager(doc.NameTable);
            nsManager.AddNamespace("soap", "http://schemas.xmlsoap.org/soap/envelope/");
            // 获取SOAP Body中的第一个子节点，即方法名
            var methodNode = doc.SelectSingleNode("//soap:Body/*", nsManager);
            return methodNode?.LocalName;
        }
    }

    return null;
}

• 效果：访问ASMX页面时看不到禁用的方法，任何针对这些方法的GET/SOAP POST请求都会被返回403禁止访问。
• 优点：集中管理禁用方法，无需修改原有方法代码，未来启用只需从DisabledMethodNames列表中移除对应方法名即可。

如果需要全局拦截多个ASMX服务的禁用方法，可以将请求拦截逻辑封装为HttpModule，这样无需让每个WebService继承自定义基类，实现更灵活的全局控制。

内容的提问来源于stack exchange，提问作者Rasik