C#中验证KendoUI DataSourceRequest对象及报错问题排查

嘿，这个问题我之前也碰到过——当用安全测试工具灌乱码时，Kendo的DataSourceRequest模型绑定器根本扛不住格式完全无效的参数，直接炸锅了。咱们一步步来解决它：

问题根源 #

你的代码里用了[DataSourceRequest]特性自动绑定请求参数，但当输入大量乱码时，请求里的sort、filter、page等参数完全不符合Kendo预期的格式，模型绑定器尝试解析这些垃圾数据时就会抛出异常，而你没有任何异常处理逻辑，所以系统直接报错暴露出来了。

解决方案 #

1. 自定义安全的DataSourceRequest绑定器（最精准的方案） #

写一个自定义模型绑定器，在默认绑定失败时返回一个空的DataSourceRequest，而不是抛出异常：

public class SafeDataSourceRequestBinder : IModelBinder
{
    public Task BindModelAsync(ModelBindingContext bindingContext)
    {
        try
        {
            // 先用默认绑定器尝试解析
            var defaultBinder = new DataSourceRequestModelBinder();
            return defaultBinder.BindModelAsync(bindingContext);
        }
        catch
        {
            // 解析失败时返回默认请求，避免崩溃
            bindingContext.Result = ModelBindingResult.Success(new DataSourceRequest());
            return Task.CompletedTask;
        }
    }
}

然后在控制器方法里替换默认绑定器：

[AcceptVerbs(HttpVerbs.Get)]
public async Task<ActionResult> _GetGoodData([ModelBinder(typeof(SafeDataSourceRequestBinder))] DataSourceRequest request)
{
    List<GoodData> reqs = await GetGoodDataAsync();
    return Json(reqs.ToDataSourceResult(request, ModelState), JsonRequestBehavior.AllowGet);
}

2. 全局异常捕获（最通用的方案） #

添加一个全局异常过滤器，捕获所有模型绑定相关的异常，统一返回友好响应，避免系统裸奔：

public class ModelBindingExceptionFilter : IExceptionFilter
{
    public void OnException(ExceptionContext context)
    {
        // 判断是否是格式或绑定异常，且涉及DataSourceRequest
        if ((context.Exception is FormatException || context.Exception is InvalidOperationException) &&
            context.ActionDescriptor.Parameters.Any(p => p.ParameterType == typeof(DataSourceRequest)))
        {
            context.Result = new JsonResult(new 
            { 
                success = false, 
                message = "请求参数格式无效，请检查输入" 
            })
            {
                StatusCode = StatusCodes.Status400BadRequest
            };
            context.ExceptionHandled = true;
        }
    }
}

在Startup.cs里注册这个过滤器：

services.AddControllersWithViews(options =>
{
    options.Filters.Add<ModelBindingExceptionFilter>();
});

3. 方法内直接加异常捕获（最快速的临时方案） #

如果不想改全局或写自定义绑定器，直接在你的方法里套个try-catch：

[AcceptVerbs(HttpVerbs.Get)]
public async Task<ActionResult> _GetGoodData([DataSourceRequest] DataSourceRequest request)
{
    try
    {
        List<GoodData> reqs = await GetGoodDataAsync();
        return Json(reqs.ToDataSourceResult(request, ModelState), JsonRequestBehavior.AllowGet);
    }
    catch (Exception ex)
    {
        // 这里可以加日志记录，方便排查问题
        // _logger.LogError(ex, "处理商品数据请求时发生错误");
        return Json(new { success = false, message = "请求处理失败" }, JsonRequestBehavior.AllowGet);
    }
}

额外提醒 #

这种乱码输入属于安全测试里的恶意参数注入测试，处理好这类问题能提升系统的健壮性，避免被攻击者利用输入错误引发的异常进行DoS攻击。建议优先用自定义绑定器或全局过滤器的方案，比单个方法的try-catch更优雅。

内容的提问来源于stack exchange，提问作者Phil