ASP.NET Web API路由异常：带+号手机号无法触发重置验证码接口

我碰到过好几个开发者遇到一模一样的问题——带+号前缀的手机号作为路由参数时，接口死活触发不了，核心原因其实是URL编码的默认行为：浏览器或客户端在发送请求时，会把URL里的+号自动解析成空格，导致服务器收到的userName参数和实际传入的手机号完全不符，路由匹配直接失败。

先复盘下你的场景：你的接口用了属性路由[Route("{UserName}/ResetCode")]，当UserName是邮箱或者不带+的手机号时，参数没有特殊字符，路由能正常匹配；但如果是+8613800138000这种带+的手机号，客户端发送的请求URL里的+会被转成空格，服务器拿到的参数变成 8613800138000，自然找不到对应的接口。

下面给你几个可行的解决方案，按推荐优先级排序：

方案1：客户端对参数做URL编码 #

这是最直接也最安全的做法，在发送请求前，把userName参数做URL编码，把+转换成对应的URL编码%2B。
比如在前端JS里可以这么处理：

const userName = "+8613800138000";
const encodedUserName = encodeURIComponent(userName);
// 发送请求的URL变成：api/Account/%2B8613800138000/ResetCode

这样服务器收到的参数就是完整的+8613800138000，路由能正常匹配。

方案2：改用请求体传递参数 #

如果不想依赖客户端的编码处理，或者参数可能包含更多特殊字符，建议把userName从路由参数改成请求体参数，这样就完全避开URL编码的问题。
修改你的接口代码：

[RoutePrefix("api/Account")]
public class AccountController : ApiController
{
    [HttpPost]
    [HttpOptions]
    [Route("ResetCode")] // 移除路由里的UserName参数
    public IHttpActionResult ResetCode([FromBody] ResetCodeRequest request, [FromUri]string lan = null) 
    {
        // 直接使用request.UserName
        service.ResetCode(request.UserName);
        return Ok();
    }
}

// 定义请求模型
public class ResetCodeRequest
{
    public string UserName { get; set; }
}

客户端发送请求时，把userName放在请求体里（比如JSON格式），这样不管有没有+号，服务器都能正确接收。

方案3：服务器端修改路由规则允许+号 #

如果一定要用路由参数传递，可以修改Web API的配置，让路由引擎允许+号作为合法的路由参数字符。

子方案3.1：修改Web.config放宽路径字符限制 #

在web.config的<system.web>节点下，修改requestPathInvalidCharacters，移除默认包含的+号：

<system.web>
  <httpRuntime requestPathInvalidCharacters="&lt;,&gt;,*,%,&amp;,\,?" />
</system.web>

注意：这种方式会放宽整个应用的路径字符限制，存在一定的安全风险，一定要确保你的接口有严格的参数校验逻辑，防止恶意字符注入。

子方案3.2：自定义路由约束 #

创建一个自定义的路由约束，明确允许包含+号的手机号格式：

public class PhoneOrEmailConstraint : IHttpRouteConstraint
{
    public bool Match(HttpRequestMessage request, IHttpRoute route, string parameterName, IDictionary<string, object> values, HttpRouteDirection routeDirection)
    {
        if (values.TryGetValue(parameterName, out var value) && value is string userName)
        {
            // 允许带+号的手机号，或者邮箱格式
            return userName.StartsWith("+") || Regex.IsMatch(userName, @"^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$");
        }
        return false;
    }
}

然后在WebApiConfig里注册这个约束：

public static class WebApiConfig
{
    public static void Register(HttpConfiguration config)
    {
        // 注册自定义约束
        config.Routes.MapHttpRoute(
            name: "DefaultApi",
            routeTemplate: "api/{controller}/{id}",
            defaults: new { id = RouteParameter.Optional },
            constraints: new { PhoneOrEmail = new PhoneOrEmailConstraint() }
        );

        // 其他配置...
    }
}

最后在接口的路由上应用这个约束：

[Route("{UserName:PhoneOrEmail}/ResetCode")]

这样路由引擎只会匹配符合规则的userName参数，包括带+号的手机号。

内容的提问来源于stack exchange，提问作者Kumar