ASP.NET Core Web API 最佳实践指南

原文地址： asp.net-core-web-api-best-practices-guide

介绍

当我们编写一个项目的时候，我们的主要目标是使它能如期运行，并尽可能地满足所有用户需求。

但是，你难道不认为创建一个能正常工作的项目还不够吗？同时这个项目不应该也是可维护和可读的吗？

事实证明，我们需要把更多的关注点放到我们项目的可读性和可维护性上。这背后的主要原因是我们或许不是这个项目的唯一编写者。一旦我们完成后，其他人也极有可能会加入到这里面来。

因此，我们应该把关注点放到哪里呢？

在这一份指南中，关于开发 .net core web api 项目，我们将叙述一些我们认为会是最佳实践的方式。进而让我们的项目变得更好和更加具有可维护性。

现在，让我们开始想一些可以应用到 asp.net web api 项目中的一些最佳实践。

startup 类 和 服务配置

startup class and the service configuration

在 startup 类中，有两个方法：configureservices 是用于服务注册，configure 方法是向应用程序的请求管道中添加中间件。

因此，最好的方式是保持 configureservices 方法简洁，并且尽可能地具有可读性。当然，我们需要在该方法内部编写代码来注册服务，但是我们可以通过使用 扩展方法 来让我们的代码更加地可读和可维护。

例如，让我们看一个注册 cors 服务的不好方式：

public void configureservices(iservicecollection services)
{
    services.addcors(options => 
    {
        options.addpolicy("corspolicy", builder => builder.allowanyorigin()
            .allowanymethod()
            .allowanyheader()
            .allowcredentials());
    });
}

尽管这种方式看起来挺好，也能正常地将 cors 服务注册成功。但是想象一下，在注册了十几个服务之后这个方法体的长度。

这样一点也不具有可读性。

一种好的方式是通过在扩展类中创建静态方法：

public static class serviceextensions
{
    public static void configurecors(this iservicecollection services)
    {
        services.addcors(options =>
        {
            options.addpolicy("corspolicy", builder => builder.allowanyorigin()
                .allowanymethod()
                .allowanyheader()
                .allowcredentials());
        });
    }
}

然后，只需要调用这个扩展方法即可：

public void configureservices(iservicecollection services)
{
    services.configurecors();
}

了解更多关于 .net core 的项目配置，请查看：.net core project configuration

项目组织

project organization

我们应该尝试将我们的应用程序拆分为多个小项目。通过这种方式，我们可以获得最佳的项目组织方式，并能将关注点分离（soc）。我们的实体、契约、访问数据库操作、记录信息或者发送邮件的业务逻辑应该始终放在单独的 .net core 类库项目中。

应用程序中的每个小项目都应该包含多个文件夹用来组织业务逻辑。

这里有个简单的示例用来展示一个复杂的项目应该如何组织：

基于环境的设置

environment based settings

当我们开发应用程序时，它处于开发环境。但是一旦我们发布之后，它将处于生产环境。因此，将每个环境进行隔离配置往往是一种好的实践方式。

在 .net core 中，这一点很容易实现。

一旦我们创建好了项目，就已经有一个 appsettings.json 文件，当我们展开它时会看到 appsettings.development.json 文件：

此文件中的所有设置将用于开发环境。

我们应该添加另一个文件 appsettings.production.json，将其用于生产环境：

生产文件将位于开发文件下面。

设置修改后，我们就可以通过不同的 appsettings 文件来加载不同的配置，取决于我们应用程序当前所处环境，.net core 将会给我们提供正确的设置。更多关于这一主题，请查阅：multiple environments in asp.net core.

数据访问层

data access layer

在一些不同的示例教程中，我们可能看到 dal 的实现在主项目中，并且每个控制器中都有实例。我们不建议这么做。

当我们编写 dal 时，我们应该将其作为一个独立的服务来创建。在 .net core 项目中，这一点很重要，因为当我们将 dal 作为一个独立的服务时，我们就可以将其直接注入到 ioc（控制反转）容器中。ioc 是 .net core 内置功能。通过这种方式，我们可以在任何控制器中通过构造函数注入的方式来使用。

public class ownercontroller: controller
{
    private irepository _repository;
    public ownercontroller(irepository repository)
    {
        _repository = repository;
    }
}

控制器

controllers

控制器应该始终尽量保持整洁。我们不应该将任何业务逻辑放置于内。

因此，我们的控制器应该通过构造函数注入的方式接收服务实例，并组织 http 的操作方法（get，post，put，delete，patch...）:

public class ownercontroller : controller
{
    private readonly iloggermanager _logger;
    private readonly irepository _repository;
    public ownercontroller(iloggermanager logger, irepository repository)
    {
        _logger = logger;
        _repository = repository;
    }

    [httpget]
    public iactionresult getallowners()
    {
    }
    [httpget("{id}", name = "ownerbyid")]
    public iactionresult getownerbyid(guid id)
    {
    }
    [httpget("{id}/account")]
    public iactionresult getownerwithdetails(guid id)
    {
    }
    [httppost]
    public iactionresult createowner([frombody]owner owner)
    {
    }
    [httpput("{id}")]
    public iactionresult updateowner(guid id, [frombody]owner owner)
    {
    }
    [httpdelete("{id}")]
    public iactionresult deleteowner(guid id)
    {
    }
}

我们的 action 应该尽量保持简洁，它们的职责应该包括处理 http 请求，验证模型，捕捉异常和返回响应。

[httppost]
public iactionresult createowner([frombody]owner owner)
{
    try
    {
        if (owner.isobjectnull())
        {
            return badrequest("owner object is null");
        }
        if (!modelstate.isvalid)
        {
            return badrequest("invalid model object");
        }
        _repository.owner.createowner(owner);
        return createdatroute("ownerbyid", new { id = owner.id }, owner);
    }
    catch (exception ex)
    {
        _logger.logerror($"something went wrong inside the createowner action: { ex} ");
        return statuscode(500, "internal server error");
    }
}

在大多数情况下，我们的 action 应该将 iactonresult 作为返回类型（有时我们希望返回一个特定类型或者是 jsonresult ...）。通过使用这种方式，我们可以很好地使用 .net core 中内置方法的返回值和状态码。

使用最多的方法是：

• ok => returns the 200 status code
• notfound => returns the 404 status code
• badrequest => returns the 400 status code
• nocontent => returns the 204 status code
• created, createdatroute, createdataction => returns the 201 status code
• unauthorized => returns the 401 status code
• forbid => returns the 403 status code
• statuscode => returns the status code we provide as input

处理全局异常

handling errors globally

在上面的示例中，我们的 action 内部有一个 try-catch 代码块。这一点很重要，我们需要在我们的 action 方法体中处理所有的异常（包括未处理的）。一些开发者在 action 中使用 try-catch 代码块，这种方式明显没有任何问题。但我们希望 action 尽量保持简洁。因此，从我们的 action 中删除 try-catch ,并将其放在一个集中的地方会是一种更好的方式。.net core 给我们提供了一种处理全局异常的方式，只需要稍加修改，就可以使用内置且完善的的中间件。我们需要做的修改就是在 startup 类中修改 configure 方法：

public void configure(iapplicationbuilder app, iwebhostenvironment env)
{
    app.useexceptionhandler(config => 
    {
        config.run(async context => 
        {
            context.response.statuscode = 500;
            context.response.contenttype = "application/json";

            var error = context.features.get<iexceptionhandlerfeature>();
            if (error != null)
            {
                var ex = error.error;
                await context.response.writeasync(new errormodel
                {
                    statuscode = 500,
                    errormessage = ex.message
                }.tostring());
            }
        });
    });

    app.userouting();

    app.useendpoints(endpoints =>
    {
        endpoints.mapcontrollers();
    });
}

我们也可以通过创建自定义的中间件来实现我们的自定义异常处理：

// you may need to install the microsoft.aspnetcore.http.abstractions package into your project
public class customexceptionmiddleware
{
    private readonly requestdelegate _next;
    private readonly ilogger<customexceptionmiddleware> _logger;
    public customexceptionmiddleware(requestdelegate next, ilogger<customexceptionmiddleware> logger)
    {
        _next = next;
        _logger = logger;
    }

    public async task invoke(httpcontext httpcontext)
    {
        try
        {
            await _next(httpcontext);
        }
        catch (exception ex)
        {
            _logger.logerror("unhandled exception....", ex);
            await handleexceptionasync(httpcontext, ex);
        }
    }

    private task handleexceptionasync(httpcontext httpcontext, exception ex)
    {
        //todo
        return task.completedtask;
    }
}

// extension method used to add the middleware to the http request pipeline.
public static class customexceptionmiddlewareextensions
{
    public static iapplicationbuilder usecustomexceptionmiddleware(this iapplicationbuilder builder)
    {
        return builder.usemiddleware<customexceptionmiddleware>();
    }
}

之后，我们只需要将其注入到应用程序的请求管道中即可：

public void configure(iapplicationbuilder app, iwebhostenvironment env)
{
    app.usecustomexceptionmiddleware();
}

使用过滤器移除重复代码

using actionfilters to remove duplicated code

asp.net core 的过滤器可以让我们在请求管道的特定状态之前或之后运行一些代码。因此如果我们的 action 中有重复验证的话，可以使用它来简化验证操作。

当我们在 action 方法中处理 put 或者 post 请求时，我们需要验证我们的模型对象是否符合我们的预期。作为结果，这将导致我们的验证代码重复，我们希望避免出现这种情况，（基本上，我们应该尽我们所能避免出现任何代码重复。）我们可以在代码中通过使用 actionfilter 来代替我们的验证代码：

if (!modelstate.isvalid)
{
    //bad request and logging logic
}

我们可以创建一个过滤器：

public class modelvalidationattribute : actionfilterattribute
{
    public override void onactionexecuting(actionexecutingcontext context)
    {
        if (!context.modelstate.isvalid)
        {
            context.result = new badrequestobjectresult(context.modelstate);
        }
    }
}

然后在 startup 类的 configureservices 函数中将其注入：

services.addscoped<modelvalidationattribute>();

现在，我们可以将上述注入的过滤器应用到我们的 action 中。

microsoft.aspnetcore.all 元包

microsoft.aspnetcore.all meta-package

注：如果你使用的是 2.1 和更高版本的 asp.net core。建议使用 microsoft.aspnetcore.app 包，而不是 microsoft.aspnetcore.all。这一切都是出于安全原因。此外，如果使用 2.1 版本创建新的 webapi 项目，我们将自动获取 aspnetcore.app 包，而不是 aspnetcore.all。

这个元包包含了所有 aspnetcore 的相关包，entityframeworkcore 包，signalr 包（version 2.1） 和依赖框架运行的支持包。采用这种方式创建一个新项目很方便，因为我们不需要手动安装一些我们可能使用到的包。

当然，为了能使用 microsoft.aspnetcore.all 元包，需要确保你的机器安装了 .net core runtime。

路由

routing

在 .net core web api 项目中，我们应该使用属性路由代替传统路由，这是因为属性路由可以帮助我们匹配路由参数名称与 action 内的实际参数方法。另一个原因是路由参数的描述，对我们而言，一个名为 "ownerid" 的参数要比 "id" 更加具有可读性。

我们可以使用 [route] 属性来在控制器的顶部进行标注：

[route("api/[controller]")]
public class ownercontroller : controller
{
    [route("{id}")]
    [httpget]
    public iactionresult getownerbyid(guid id)
    {
    }
}

还有另一种方式为控制器和操作创建路由规则：

[route("api/owner")]
public class ownercontroller : controller
{
    [route("{id}")]
    [httpget]
    public iactionresult getownerbyid(guid id)
    {
    }
}

对于这两种方式哪种会好一些存在分歧，但是我们经常建议采用第二种方式。这是我们一直在项目中采用的方式。

当我们谈论路由时，我们需要提到路由的命名规则。我们可以为我们的操作使用描述性名称，但对于 路由/节点，我们应该使用 nouns 而不是 verbs。

一个较差的示例：

[route("api/owner")]
public class ownercontroller : controller
{
    [httpget("getallowners")]
    public iactionresult getallowners()
    {
    }
    [httpget("getownerbyid/{id}"]
    public iactionresult getownerbyid(guid id)
    {
    }
}

一个较好的示例：

[route("api/owner")]
public class ownercontroller : controller
{
    [httpget]
    public iactionresult getallowners()
    {
    }
    [httpget("{id}"]
    public iactionresult getownerbyid(guid id)
    {
    }
}

更多关于 restful 实践的细节解释，请查阅：top rest api best practices

日志

logging

如果我们打算将我们的应用程序发布到生产环境，我们应该在合适的位置添加一个日志记录机制。在生产环境中记录日志对于我们梳理应用程序的运行很有帮助。

.net core 通过继承 ilogger 接口实现了它自己的日志记录。通过借助依赖注入机制，它可以很容易地使用。

public class testcontroller: controller
{
    private readonly ilogger _logger;
    public testcontroller(ilogger<testcontroller> logger)
    {
        _logger = logger;
    }
}

然后，在我们的 action 中，我们可以通过使用 _logger 对象借助不同的日志级别来记录日志。

.net core 支持使用于各种日志记录的 provider。因此，我们可能会在项目中使用不同的 provider 来实现我们的日志逻辑。

nlog 是一个很不错的可以用于我们自定义的日志逻辑类库，它极具扩展性。支持结构化日志，且易于配置。我们可以将信息记录到控制台，文件甚至是数据库中。

想了解更多关于该类库在 .net core 中的应用，请查阅：.net core series – logging with nlog.

serilog 也是一个很不错的类库，它适用于 .net core 内置的日志系统。

加密

cryptohelper

我们不会建议将密码以明文形式存储到数据库中。处于安全原因，我们需要对其进行哈希处理。这超出了本指南的内容范围。互联网上有大量哈希算法，其中不乏一些不错的方法来将密码进行哈希处理。

但是如果需要为 .net core 的应用程序提供易于使用的加密类库，cryptohelper 是一个不错的选择。

cryptohelper 是适用于 .net core 的独立密码哈希库，它是基于 pbkdf2 来实现的。通过创建 data protection 栈来将密码进行哈希化。这个类库在 nuget 上是可用的，并且使用也很简单：

using cryptohelper;

// hash a password
public string hashpassword(string password)
{
    return crypto.hashpassword(password);
}

// verify the password hash against the given password
public bool verifypassword(string hash, string password)
{
    return crypto.verifyhashedpassword(hash, password);
}

内容协商

content negotiation

默认情况下，.net core web api 会返回 json 格式的结果。大多数情况下，这是我们所希望的。

但是如果客户希望我们的 web api 返回其它的响应格式，例如 xml 格式呢？

为了解决这个问题，我们需要进行服务端配置，用于按需格式化我们的响应结果：

public void configureservices(iservicecollection services)
{
    services.addcontrollers().addxmlserializerformatters();
}

但有时客户端会请求一个我们 web api 不支持的格式，因此最好的实践方式是对于未经处理的请求格式统一返回 406 状态码。这种方式也同样能在 configureservices 方法中进行简单配置：

public void configureservices(iservicecollection services)
{
    services.addcontrollers(options => options.returnhttpnotacceptable = true).addxmlserializerformatters();
}

我们也可以创建我们自己的格式化规则。

这一部分内容是一个很大的主题，如果你希望了解更对，请查阅：content negotiation in .net core

使用 jwt

using jwt

现如今的 web 开发中，json web tokens (jwt) 变得越来越流行。得益于 .net core 内置了对 jwt 的支持，因此实现起来非常容易。jwt 是一个开发标准，它允许我们以 json 格式在服务端和客户端进行安全的数据传输。

我们可以在 configureservices 中配置 jwt 认证：

public void configureservices(iservicecollection services)
{
    services.addauthentication(jwtbearerdefaults.authenticationscheme)
        .addjwtbearer(options => 
        {
            options.tokenvalidationparameters = new tokenvalidationparameters
            {
                validateissuer = true,
                validissuer = _authtoken.issuer,

                validateaudience = true,
                validaudience = _authtoken.audience,

                validateissuersigningkey = true,
                issuersigningkey = new symmetricsecuritykey(encoding.utf8.getbytes(_authtoken.key)),

                requireexpirationtime = true,
                validatelifetime = true,

                //others
            };
        });
}

为了能在应用程序中使用它，我们还需要在 configure 中调用下面一段代码：

public void configure(iapplicationbuilder app, iwebhostenvironment env)
{
    app.useauthentication();
}

此外，创建 token 可以使用如下方式：

var securitytoken = new jwtsecuritytoken(
                claims: new claim[]
                {
                    new claim(claimtypes.nameidentifier,user.id),
                    new claim(claimtypes.email,user.email)
                },
                issuer: _authtoken.issuer,
                audience: _authtoken.audience,
                notbefore: datetime.now,
                expires: datetime.now.adddays(_authtoken.expires),
                signingcredentials: new signingcredentials(
                    new symmetricsecuritykey(encoding.utf8.getbytes(_authtoken.key)),
                    securityalgorithms.hmacsha256signature));

token = new jwtsecuritytokenhandler().writetoken(securitytoken)

基于 token 的用户验证可以在控制器中使用如下方式：

var auth = await httpcontext.authenticateasync();
var id = auth.principal.claims.firstordefault(x => x.type.equals(claimtypes.nameidentifier))?.value;

我们也可以将 jwt 用于授权部分，只需添加角色声明到 jwt 配置中即可。

更多关于 .net core 中 jwt 认证和授权部分，请查阅： 和

总结

读到这里，可能会有朋友对上述一些最佳实践不是很认同，因为全篇都没有谈及更切合项目的实践指南，比如 tdd 、ddd 等。但我个人认为上述所有的最佳实践是基础，只有把这些基础掌握了，才能更好地理解一些更高层次的实践指南。万丈高楼平地起，所以你可以把这看作是一篇面向新手的最佳实践指南。

在这份指南中，我们的主要目的是让你熟悉关于使用 .net core 开发 web api 项目时的一些最佳实践。这里面的部分内容在其它框架中也同样适用。因此，熟练掌握它们很有用。

非常感谢你能阅读这份指南，希望它能对你有所帮助。