如何处理服务层不成功的请求？

Question

假设我有以下使用服务层的 rest api 端点：

[HttpGet("id")]
public async Task<IActionResult> GetById(int id)
{
    var entity = _someService.GetById(id);
    
    return Ok(entity);
}

在服务方法中，用户没有权限访问该实体：

public Entity GetById(int id)
{
    var entity = _repository.Get(id)
    
    if(entity.OwnerId != CurrentUserId) // true
    {
        ...
    }
}

或者它根本不存在：

public Entity GetById(int id)
{
    var entity = _repository.Get(id)
    
    if(entity is null) // true
    {
        ...
    }
}

处理此类情况并通过在响应中设置合适的状态代码让用户知道出现问题的最佳方法是什么？

我能想到的是定义结果类，其中还包含请求结果，例如：

public class RequestResult<T>
{
    public T Result {get; set;}
    public int StatusCode {get; set;} // 200, 404, 403 ...
}

或者（我个人更喜欢）定义并抛出 ForbiddenException 或 NotFoundException 并通过设置合适的响应状态码在 ExceptionHandlingMiddleware 中处理这些。

Answer 1

您的服务层不是定义 HTTP 响应的正确位置；这是您的控制器的责任。

ControllerBase 定义了许多方法来生成各种 HTTP 响应，包括您的示例中的 Ok，它返回 200。

还有Forbid和NotFound，应该可以满足你的要求。

例如，如果找不到实体，则让您的服务返回 null：

[HttpGet("id")]
public async Task<IActionResult> GetById(int id)
{
    var entity = _someService.GetById(id);

    if (entity == null) return NotFound();
    
    return Ok(entity);
}

如果服务确定用户无权访问，则可能会出现异常：

public Entity GetById(int id)
{
    var entity = _repository.Get(id)
    
    if (entity.OwnerId != CurrentUserId) // true
    {
        throw new UnauthorizedAccessException();
    }
}

然后在你的控制器中：

[HttpGet("id")]
public async Task<IActionResult> GetById(int id)
{
    Entity entity;
    try
    {
        entity = _someService.GetById(id);
    }
    catch (UnauthorizedAccessException)
    {
        return Forbid();
    }

    if (entity == null) return NotFound();
    
    return Ok(entity);
}

Answer 2

处理此类情况并返回 403 或 404 的最佳方法是什么？

根据 hTTO 定义 404 - 未找到。

403 是被禁止的——这在一般安全性和 READ 操作方面毫无意义。基本上：如果您不允许阅读它，通常也不允许您知道它是否存在。这是现在的标准 - 我不会告诉你密码错误，我会告诉你用户名或密码错误。我从不提供安全相关信息。

因此，403 被隔离以更新操作，您可以阅读，但禁止更新（或删除）。出于安全问题，不允许读取变成 404（未找到）。