DataAnnotations验证需触发绑定管道或手动调用Validator.TryValidateObject，漏掉validateAllProperties参数、属性无setter、JSON字段名不匹配等会导致验证失效。
为什么直接在模型上加[Required]没反应
加了[Required]、[StringLength]这些特性，但调用ModelState.IsValid始终返回true，或者验证失败却不报错——大概率是因为没触发验证入口。DataAnnotations本身不自动运行，它只是“贴标签”，真正干活的是Validator.TryValidateObject或 MVC/Web API 的绑定管道。
- MVC Controller 中，只要参数是强类型且启用了模型绑定（默认开启），
ModelState会在 Action 执行前自动验证，此时可直接读ModelState.IsValid - 纯类库或控制台场景下，必须手动调用：
var validationResults = new List<ValidationResult>(); bool isValid = Validator.TryValidateObject(model, new ValidationContext(model), validationResults, true);
- 漏掉第四个参数
true（即validateAllProperties）会导致只验证有值的属性，空字符串或 null 的[Required]字段会被跳过
[Range]和[RegularExpression]的常见陷阱
[Range]对非数字类型（如string长度）无效，它只比较数值大小；想限制字符串长度得用[StringLength]。而[RegularExpression]默认使用RegexOptions.Compiled以外的选项，不加^和$容易误匹配子串。
-
[Range(1, 100)]作用于int没问题，但套在string上会编译报错 - 邮箱正则别写成
[RegularExpression(@"\w+@\w+")]——它会把"xxx@yyy.zzz@aaa"也判为合法；应写成[RegularExpression(@"^\w+@\w+\.\w+$")] - 中文支持要显式加
\u4e00-\u9fa5，比如^[a-zA-Z\u4e00-\u9fa5]{2,10}$，否则\w在 .NET 默认不匹配汉字
自定义验证逻辑必须继承ValidationAttribute
内置特性覆盖不了业务规则时（例如“结束时间必须晚于开始时间”），不能靠 if-else 手动判断，得封装成可复用的特性。关键点：重写IsValid方法，并注意参数类型和上下文访问方式。
- 验证依赖多个属性时，用
validationContext.ObjectInstance拿到整个模型对象，再反射取值：var model = validationContext.ObjectInstance as MyModel; if (model?.StartTime >= model?.EndTime) { ... } - 不要在
IsValid里抛异常，返回ValidationResult.Failure或null（表示通过） - 若需本地化错误信息，把
ErrorMessageResourceType和ErrorMessageResourceName设为资源类，避免硬编码字符串
Web API 中ModelState为空或验证不触发
API Controller 里ModelState一直为空，或 POST JSON 后[Required]没生效——多数是模型绑定失败导致验证根本没跑。典型原因：JSON 字段名与 C# 属性名不一致、缺少无参构造函数、属性不可写（只有 getter）。
- 确保 DTO 类有 public 无参构造函数，且每个待验证属性都有 public setter
- 前端传
user_name，后端属性叫UserName，需加[JsonProperty("user_name")]（Newtonsoft）或[JsonPropertyName("user_name")]（System.Text.Json） - 控制器方法参数不能是
object或JObject，必须是具体类型，否则绑定器无法关联 DataAnnotations - 验证失败默认返回 400，但错误详情是否包含在响应体中，取决于
ApiBehaviorOptions.SuppressModelStateInvalidFilter配置
DataAnnotations 验证看似简单，真正卡住人的往往不是“怎么加特性”，而是“谁来触发”“在哪生效”“为什么被跳过”。特别是跨框架（MVC / Web API / Minimal API）或混合序列化器时，绑定阶段的差异会直接让验证静默失效。
