ASP.NET Core Razor Pages 实战：从入门到部署的完整开发指南-平芜编程栈

这次我们来看一个 ASP.NET Core Razor Pages 项目。如果你正在寻找一个比传统 MVC 更简洁、更聚焦于页面逻辑的 Web 开发框架，Razor Pages 值得你花时间了解。它不是新概念，但在 ASP.NET Core 的加持下，其开发效率和清晰度有了显著提升。本文将带你快速上手，从环境搭建到功能部署，重点讲清楚它是什么、怎么用，以及在实际项目中如何验证其效果。

简单说，Razor Pages 是 ASP.NET Core 中用于构建动态网页的一种编程模型。它基于页面（Page）而非控制器（Controller）来组织代码，将处理特定页面请求的 C# 代码（PageModel）和对应的 Razor 视图（.cshtml）紧密耦合在一起。这种设计让处理表单提交、页面初始化等逻辑变得更加直观，尤其适合内容管理、后台管理、数据报表等以页面为中心的 Web 应用。对于刚从 MVC 转过来，或者希望减少控制器和视图间“胶水代码”的开发者来说，这是一个高效的替代方案。

本文不会过多讨论概念差异，而是直接进入实战。我们将完成以下内容：首先，快速了解 Razor Pages 的核心能力和适用场景；接着，准备好开发环境并创建一个基础项目；然后，通过构建一个包含表单验证、数据列表和简单 API 调用的功能页面，来验证其开发流程；最后，我们会探讨如何将其部署为可访问的服务，并分析在开发中可能遇到的常见问题及其解决方案。整个过程旨在让你能跟着操作一遍，并判断它是否适合你的下一个项目。

1. 核心能力速览

在深入代码之前，我们先通过一个表格快速把握 ASP.NET Core Razor Pages 的关键信息，这有助于你判断是否值得投入时间学习。

能力项	说明
项目类型	ASP.NET Core Web 应用框架（页面模型）
核心特点	基于页面的开发模型，将后端逻辑（PageModel）与前端视图（.cshtml）紧密绑定，减少 MVC 中控制器与视图的间接性。
主要功能	动态网页生成、表单处理、模型绑定、验证、局部视图、页面过滤器、依赖注入支持。
推荐环境	.NET SDK（推荐最新 LTS 版本，如 .NET 8/9），Visual Studio 2022、VS Code 或 Rider。
硬件门槛	极低。作为服务端渲染框架，开发阶段对 GPU 无要求，仅需普通 CPU 和足够内存运行 IDE 和 .NET 运行时。
启动方式	通过`dotnet run`命令或 IDE 内置调试功能一键启动 Kestrel 服务器。
是否支持 API	是。虽然专注于页面，但 Razor Pages 的 PageModel 中可以定义 Handler 方法来处理特定 HTTP 动作（如 OnPostApi），也可与 Web API 项目共存。
是否支持“批量任务”	间接支持。可通过后台服务（如 IHostedService）、队列（如 Hangfire）处理异步或批量业务逻辑，与 Razor Pages 前端配合。
适合场景	内容管理系统（CMS）、企业内部后台、数据仪表盘、报告生成页面、需要服务端渲染的营销页面等。

2. 适用场景与使用边界

了解一个技术最适合用在哪里，以及它的局限性，比盲目追新更重要。

Razor Pages 非常适合以下场景：

页面导向型应用：应用由一个个独立的页面组成，每个页面有明确的输入、处理和输出。例如，一个“用户注册”页面、一个“订单详情”页面或一个“数据统计”仪表板。
快速原型开发：由于逻辑和视图在同一个上下文中，开发者可以非常快速地构建出功能完整的页面，无需在控制器和视图文件间频繁切换。
表单密集型应用：内置的模型绑定和验证机制使得处理表单提交、显示验证错误信息变得异常简单。
需要服务端渲染的 SEO 友好型网站：所有 HTML 在服务器端生成，对搜索引擎爬虫友好，且初始加载性能较好。

Razor Pages 可能不是最佳选择的场景：

大型单页应用（SPA）：如果需要构建像 React、Vue、Angular 那样的高度交互式 SPA，Razor Pages 更适合作为服务端渲染的起点或后台管理部分，前端交互仍需结合 JavaScript 框架或 Blazor。
纯 API 服务：如果项目只需要提供 RESTful 或 GraphQL API 而无任何 UI 界面，那么创建 ASP.NET Core Web API 项目会更纯粹。
极其复杂的、需要高度抽象和共享逻辑的 UI：虽然可以使用局部视图和视图组件，但若页面间业务逻辑耦合度极高，传统的 MVC 模式可能提供更清晰的关注点分离（尽管 Razor Pages 也能通过基类或服务实现）。

安全与合规边界：

输入验证：务必利用内置的[Required],[StringLength],[DataType]等数据注解属性进行模型验证，防止无效或恶意数据。
跨站请求伪造（CSRF）防护：Razor Pages 默认启用了防伪令牌验证。在表单中务必使用@Html.AntiForgeryToken()或<form>标签帮助器，以确保安全。
授权与认证：集成 ASP.NET Core Identity 可以轻松实现用户登录、角色授权等功能，确保页面访问安全。

3. 环境准备与前置条件

开始编码前，确保你的开发环境已经就绪。以下是通用检查清单：

操作系统：Windows 10/11, macOS, 或 Linux 发行版（如 Ubuntu）。ASP.NET Core 是跨平台的。
.NET SDK：这是核心。访问 .NET 官方网站下载并安装最新的.NET 8 LTS或.NET 9（当它稳定发布后）SDK。安装后，在终端或命令提示符中运行dotnet --info验证安装。
开发工具（任选其一）：
- Visual Studio 2022 (社区版免费)：功能最全，对 .NET 开发支持最好。安装时确保勾选“ASP.NET 和 Web 开发”工作负载。
- Visual Studio Code：轻量级，需额外安装 C# 扩展（由 Microsoft 发布）。
- JetBrains Rider：强大的跨平台 .NET IDE。
代码管理：建议安装 Git，用于版本控制。
浏览器：任何现代浏览器（Chrome, Edge, Firefox, Safari）用于测试。
磁盘空间：预留至少 2GB 空间用于 SDK、工具和项目文件。

4. 安装部署与启动方式

我们将从零开始创建一个 Razor Pages 项目，并启动它。

4.1 创建新项目

打开终端（命令行），导航到你希望创建项目的目录，执行以下命令：

# 创建一个新的 Razor Pages Web 应用，项目名为 RazorPagesDemo dotnet new webapp -o RazorPagesDemo # 进入项目目录 cd RazorPagesDemo

dotnet new webapp模板会生成一个包含基础布局、样式和几个示例页面的 Razor Pages 项目。

4.2 项目结构初览

进入项目目录后，你会看到类似以下的结构：

RazorPagesDemo/ ├── Pages/ │ ├── Index.cshtml # 首页的视图 │ ├── Index.cshtml.cs # 首页对应的 PageModel 类（后端逻辑） │ ├── Privacy.cshtml │ ├── Privacy.cshtml.cs │ ├── Shared/ # 共享的布局和视图组件 │ │ ├── _Layout.cshtml │ │ └── _ValidationScriptsPartial.cshtml │ └── _ViewImports.cshtml # 全局视图导入 ├── wwwroot/ # 静态资源（CSS, JS, 图片） ├── appsettings.json # 应用配置 ├── Program.cs # 应用入口和服务配置 └── RazorPagesDemo.csproj # 项目文件

关键点在于Pages文件夹。每个.cshtml文件（视图）通常都有一个对应的.cshtml.cs文件（PageModel），它们共同构成一个“页面”。

4.3 启动项目

在项目根目录下，运行以下命令：

dotnet run

命令输出会显示应用正在监听哪个 URL（通常是http://localhost:5000或https://localhost:5001）。打开浏览器，访问这个 URL，你将看到默认的 Razor Pages 应用首页。

这是最基础的“一键启动”。开发过程中，你可以保持这个终端运行，修改代码后保存，应用会自动热重载（Hot Reload），刷新浏览器即可看到变化。

4.4 通过 IDE 启动

如果你使用 Visual Studio 或 VS Code，打开项目文件夹后，通常只需按F5（调试）或Ctrl+F5（不调试）即可启动。IDE 会帮你处理好编译和运行。

5. 功能测试与效果验证

现在，我们来创建一个具有实际功能的页面，验证 Razor Pages 的核心特性：表单处理、模型验证和数据展示。

5.1 创建“联系人”页面

假设我们要创建一个简单的联系人信息提交页面。

在Pages文件夹下新建一个文件Contact.cshtml。同时，Razor Pages 工具通常会建议或自动创建对应的Contact.cshtml.cs。如果没有，请手动创建。

定义 PageModel (Contact.cshtml.cs)：

using System.ComponentModel.DataAnnotations; using Microsoft.AspNetCore.Mvc; using Microsoft.AspNetCore.Mvc.RazorPages; namespace RazorPagesDemo.Pages { public class ContactModel : PageModel { // 这些属性将绑定到表单字段 [BindProperty] // 使属性在 POST 请求中可绑定 [Required(ErrorMessage = "姓名是必填项")] [Display(Name = "您的姓名")] public string Name { get; set; } [BindProperty] [Required] [EmailAddress(ErrorMessage = "请输入有效的邮箱地址")] [Display(Name = "电子邮箱")] public string Email { get; set; } [BindProperty] [Required] [StringLength(500, MinimumLength = 10, ErrorMessage = "留言内容需在10-500字符之间")] [Display(Name = "留言内容")] public string Message { get; set; } // 这个属性用于在页面上显示提交成功后的消息 public string SuccessMessage { get; set; } // GET 请求处理程序：当用户访问 /Contact 时调用 public void OnGet() { // 可以在这里进行页面初始化，例如从数据库加载数据 } // POST 请求处理程序：当用户提交表单时调用 public IActionResult OnPost() { // ModelState.IsValid 会检查所有绑定属性上的数据注解验证规则 if (!ModelState.IsValid) { // 验证失败，返回当前页面，页面上会显示验证错误信息 return Page(); } // 验证通过，模拟处理数据（例如保存到数据库） // TODO: 在这里添加保存到数据库或发送邮件的逻辑 Console.WriteLine($"收到来自 {Name}({Email}) 的留言：{Message}"); // 设置成功消息 SuccessMessage = $"感谢您，{Name}！您的留言已收到。"; // 为了防止表单重复提交，通常进行重定向（PRG模式：Post-Redirect-Get） // 这里为了简单，我们直接返回页面并显示消息 // return RedirectToPage("./Contact"); // 使用PRG模式则取消注释此行 return Page(); } } }

创建 Razor 视图 (Contact.cshtml)：

@page @model RazorPagesDemo.Pages.ContactModel @{ ViewData["Title"] = "联系我们"; } <h1>@ViewData["Title"]</h1> <!-- 如果提交成功，显示成功消息 --> @if (!string.IsNullOrEmpty(Model.SuccessMessage)) { <div class="alert alert-success" role="alert"> @Model.SuccessMessage </div> } <!-- 表单 --> <form method="post"> <!-- 防伪令牌，防止CSRF攻击 --> @Html.AntiForgeryToken() <div class="form-group"> <label asp-for="Name"></label> <input asp-for="Name" class="form-control" /> <!-- 显示该字段的验证错误信息 --> <span asp-validation-for="Name" class="text-danger"></span> </div> <div class="form-group"> <label asp-for="Email"></label> <input asp-for="Email" class="form-control" /> <span asp-validation-for="Email" class="text-danger"></span> </div> <div class="form-group"> <label asp-for="Message"></label> <textarea asp-for="Message" class="form-control" rows="5"></textarea> <span asp-validation-for="Message" class="text-danger"></span> </div> <button type="submit" class="btn btn-primary">提交留言</button> </form> @section Scripts { <!-- 引入客户端验证脚本（基于jQuery Unobtrusive Validation） --> <partial name="_ValidationScriptsPartial" /> }

5.2 测试验证

启动项目：确保dotnet run正在运行。
访问页面：在浏览器中打开http://localhost:xxxx/Contact。
测试客户端验证：
- 不填任何内容，直接点击“提交留言”。页面会阻止提交，并在每个字段下方显示红色的错误提示（[Required]注解生效）。
- 输入一个无效的邮箱格式，错误提示会立即显示（[EmailAddress]注解生效，这需要客户端脚本支持）。
测试服务端验证与处理：
- 填写所有有效信息，点击提交。
- 观察终端输出，应该能看到打印的留言信息。
- 页面刷新后，顶部会显示绿色的成功提示消息（SuccessMessage生效）。

至此，你已经完成了一个具备完整表单处理、双向模型绑定、服务端与客户端验证的 Razor Pages 功能页面。整个过程无需配置路由（基于文件名自动映射），逻辑集中，体验流畅。

6. 接口 API 与“批量任务”集成

虽然 Razor Pages 以页面为中心，但与现代前端或自动化脚本交互时，API 接口不可或缺。同时，我们也可以探讨如何集成后台“批量任务”。

6.1 在 Razor Pages 中提供 API 端点

你可以在 PageModel 中创建返回JsonResult或IActionResult的 Handler 方法，专门处理 API 请求。

在Contact.cshtml.cs中添加一个 API 处理器：

// 在 ContactModel 类中添加以下方法 public IActionResult OnPostSendMessageApi([FromBody] ContactApiModel model) { // 此方法响应 POST /Contact?handler=SendMessageApi // 或通过特定路由配置访问 if (!ModelState.IsValid) { return BadRequest(ModelState); } // 处理业务逻辑... Console.WriteLine($"API收到消息：{model.Message}"); return new JsonResult(new { success = true, message = "消息已通过API接收" }); } // 用于API的专用模型（可选，可与页面模型分离） public class ContactApiModel { [Required] public string Name { get; set; } [Required] [EmailAddress] public string Email { get; set; } public string Message { get; set; } }

通过 curl 或 Postman 测试 API：

curl -X POST "http://localhost:5000/Contact?handler=SendMessageApi" \ -H "Content-Type: application/json" \ -d '{"name":"张三","email":"zhangsan@example.com","message":"测试API"}'

这将调用我们刚定义的OnPostSendMessageApi方法。

更常见的做法：对于复杂的 API，建议在同一个解决方案中创建独立的ASP.NET Core Web API项目，与 Razor Pages 项目分开或共存，通过服务层共享业务逻辑。Razor Pages 前端通过 JavaScript 的fetch或axios调用这些 API。

6.2 集成后台“批量任务”处理

对于数据导出、报告生成、邮件群发等耗时操作，不应阻塞页面请求。我们可以使用后台服务。

创建后台任务服务：在项目根目录创建Services文件夹，添加BackgroundTaskService.cs：

using Microsoft.Extensions.Hosting; using Microsoft.Extensions.Logging; using System.Threading; using System.Threading.Tasks; namespace RazorPagesDemo.Services { public class BackgroundTaskService : BackgroundService { private readonly ILogger<BackgroundTaskService> _logger; private readonly IBackgroundTaskQueue _taskQueue; public BackgroundTaskService(IBackgroundTaskQueue taskQueue, ILogger<BackgroundTaskService> logger) { _taskQueue = taskQueue; _logger = logger; } protected override async Task ExecuteAsync(CancellationToken stoppingToken) { _logger.LogInformation("后台任务服务已启动。"); while (!stoppingToken.IsCancellationRequested) { var workItem = await _taskQueue.DequeueAsync(stoppingToken); try { await workItem(stoppingToken); } catch (Exception ex) { _logger.LogError(ex, "处理后台任务时出错。"); } } } } // 一个简单的后台任务队列接口 public interface IBackgroundTaskQueue { ValueTask QueueBackgroundWorkItemAsync(Func<CancellationToken, ValueTask> workItem); ValueTask<Func<CancellationToken, ValueTask>> DequeueAsync(CancellationToken cancellationToken); } // 内存中的实现（生产环境建议使用分布式队列如 Azure Queue/Hangfire） public class BackgroundTaskQueue : IBackgroundTaskQueue { private readonly Channel<Func<CancellationToken, ValueTask>> _queue; public BackgroundTaskQueue(int capacity = 100) { var options = new BoundedChannelOptions(capacity) { FullMode = BoundedChannelFullMode.Wait }; _queue = Channel.CreateBounded<Func<CancellationToken, ValueTask>>(options); } public async ValueTask QueueBackgroundWorkItemAsync(Func<CancellationToken, ValueTask> workItem) { if (workItem == null) throw new ArgumentNullException(nameof(workItem)); await _queue.Writer.WriteAsync(workItem); } public async ValueTask<Func<CancellationToken, ValueTask>> DequeueAsync(CancellationToken cancellationToken) { var workItem = await _queue.Reader.ReadAsync(cancellationToken); return workItem; } } }

在Program.cs中注册服务：

// 添加必要的 using using RazorPagesDemo.Services; var builder = WebApplication.CreateBuilder(args); // 添加服务到容器 builder.Services.AddRazorPages(); // 注册后台任务队列和托管服务 builder.Services.AddSingleton<IBackgroundTaskQueue, BackgroundTaskQueue>(); builder.Services.AddHostedService<BackgroundTaskService>(); var app = builder.Build(); // ... 其余配置

在 PageModel 中触发后台任务：

// 在 ContactModel 中注入队列服务 public class ContactModel : PageModel { private readonly IBackgroundTaskQueue _taskQueue; private readonly ILogger<ContactModel> _logger; public ContactModel(IBackgroundTaskQueue taskQueue, ILogger<ContactModel> logger) { _taskQueue = taskQueue; _logger = logger; } public async Task<IActionResult> OnPostAsync() // 改为异步方法 { if (!ModelState.IsValid) return Page(); // 将耗时操作（如发送确认邮件）放入后台队列 await _taskQueue.QueueBackgroundWorkItemAsync(async token => { // 模拟耗时操作 await Task.Delay(5000, token); _logger.LogInformation($"后台任务：已处理 {Name} 的留言。"); // 实际这里可以调用邮件发送服务等 }); SuccessMessage = $"感谢您，{Name}！您的留言已提交，处理结果将通过邮件通知。"; return Page(); } }

这样，当用户提交表单时，页面会立即响应，而耗时的邮件发送逻辑则在后台异步执行，实现了“准批量”或异步任务的处理。

7. 资源占用与性能观察

作为服务端框架，性能关注点主要在 CPU、内存和响应时间。

内存占用：一个刚启动的基础 Razor Pages 应用进程，内存占用通常在 100MB - 200MB 左右，具体取决于加载的程序集和中间件。随着请求量增加，内存会动态增长。
CPU 使用率：在请求处理期间（特别是渲染视图、执行复杂查询时）会有峰值。正常情况下，空闲时 CPU 占用极低。
启动时间：得益于 .NET Core 的优良设计和可选的“ReadyToRun”编译，应用启动速度很快。在开发环境使用dotnet run启动通常只需几秒。
如何观察：
- 开发工具：Visual Studio 的诊断工具窗口、VS Code 的进程管理器。
- 系统工具：任务管理器（Windows）、活动监视器（macOS）、top或htop（Linux）。
- 应用内监控：集成 Application Insights、OpenTelemetry 等 APM 工具，监控请求耗时、异常和依赖项调用。

性能优化建议：

启用响应压缩：在Program.cs中app.UseRouting();前添加app.UseResponseCompression();并配置服务，可减小 HTML、CSS、JS 的传输体积。
使用缓存：对不常变的数据使用内存缓存 (IMemoryCache) 或分布式缓存 (IDistributedCache)。
异步编程：PageModel 的 Handler 方法、数据库查询等 I/O 操作尽量使用async/await，避免阻塞线程。
优化数据库查询：使用 EF Core 时，注意Select只取所需字段，避免 N+1 查询。

8. 常见问题与排查方法

在开发和部署过程中，你可能会遇到以下问题。这里提供一个快速排查指南。

问题现象	可能原因	排查方式	解决方案
启动后页面显示“HTTP Error 500.30 - ANCM In-Process Start Failure”	运行时错误，通常是代码在启动时（如`Program.cs`或`Startup.cs`）抛出未处理的异常。	1. 查看命令行或输出窗口的详细错误堆栈。 2. 检查`Program.cs`中的服务注册和中间件配置。	根据错误堆栈修复代码。常见于数据库连接字符串错误、服务注册顺序问题。
修改`.cshtml`文件后，浏览器刷新看不到变化	1. 浏览器缓存。 2. 热重载未生效。 3. 运行时编译未启用（仅发布后有此问题）。	1. 强制刷新浏览器（Ctrl+F5）。 2. 确认运行的是`dotnet watch run`或 IDE 调试模式（支持热重载）。 3. 检查`RazorPagesDemo.csproj`中是否有`<RazorCompileOnBuild>false</RazorCompileOnBuild>`（不推荐生产）。	开发时使用`dotnet watch run`命令启动，它会监视文件变动并自动重启。
表单提交后，模型属性始终为`null`	PageModel 中的属性未标记`[BindProperty]`特性。	检查 PageModel 中需要接收表单数据的属性是否添加了`[BindProperty]`。	为属性添加`[BindProperty]`特性。对于 GET 请求也需绑定时，使用`[BindProperty(SupportsGet = true)]`。
验证错误信息没有显示在页面上	1. 未引入验证脚本。 2.`asp-validation-for`标签帮助器使用错误。	1. 检查视图底部是否包含`@section Scripts { <partial name="_ValidationScriptsPartial" /> }`。 2. 检查`span`标签的`asp-validation-for`属性值是否与模型属性名匹配。	确保正确引入验证脚本部分视图，并检查标签帮助器语法。
访问`/MyPage`返回 404	1.`Pages`文件夹下没有`MyPage.cshtml`。 2. 文件命名或位置不正确。 3. 路由配置被覆盖。	1. 确认`Pages`文件夹下存在`MyPage.cshtml`（和`MyPage.cshtml.cs`）。 2. 检查`@page`指令。默认路由基于文件名，也可用`@page "{handler?}"`自定义。	创建正确的文件，或检查`@page`指令和`Program.cs`中的终结点路由配置。
静态资源（CSS, JS, 图片）无法加载	1. 文件不在`wwwroot`目录下。 2. 路径引用错误。 3. 静态文件中间件未启用。	1. 确认文件位于`wwwroot`或其子目录。 2. 使用`~/css/site.css`格式引用（`~`代表应用根目录）。 3. 检查`Program.cs`中是否有`app.UseStaticFiles();`。	将静态文件放入`wwwroot`，使用正确路径，并确保`UseStaticFiles`被调用（默认模板已包含）。
部署到服务器后无法运行	1. 服务器未安装对应 .NET 运行时或主机捆绑包。 2. 端口被占用或防火墙阻止。 3. 文件权限不足。	1. 在服务器上运行`dotnet --info`检查运行时。 2. 检查应用监听的端口（默认为 5000/5001 或环境变量指定）是否开放。 3. 查看应用日志（通常位于`stdout`或日志文件）。	1. 在服务器安装对应 .NET 运行时。 2. 使用反向代理（如 Nginx, IIS）转发请求。 3. 调整应用监听的端口或配置 HTTPS。

9. 最佳实践与使用建议

基于项目经验，遵循以下实践能让你的 Razor Pages 项目更健壮、更易维护。

保持 PageModel 精简：PageModel 应专注于处理当前页面的请求逻辑。将复杂的业务规则、数据访问代码抽取到独立的服务类中，并通过依赖注入注入到 PageModel。这符合单一职责原则，也便于测试。
善用依赖注入（DI）：ASP.NET Core 内置了强大的 DI 容器。将数据库上下文（DbContext）、仓储（Repository）、业务服务、工具类等注册为服务，然后在 PageModel 构造函数中注入使用。
使用局部视图和视图组件：对于重复的 UI 片段（如导航栏、页脚、产品卡片），创建局部视图（_PartialView.cshtml）或视图组件。这能极大提高代码复用性和可维护性。
实现 Post-Redirect-Get (PRG) 模式：处理表单 POST 成功后，应使用RedirectToPage()重定向到一个 GET 请求，而不是直接返回Page()。这可以防止用户刷新页面时重复提交表单。
为异步操作使用async/await：所有涉及 I/O（如数据库调用、文件操作、网络请求）的 Handler 方法都应定义为async Task<IActionResult>，并使用await调用异步方法。这能提高应用的并发能力。
进行模型验证：始终在 PageModel 属性或独立的输入模型上使用数据注解进行验证。不要依赖前端验证，服务端验证是安全底线。
环境配置管理：使用appsettings.json、appsettings.{Environment}.json和环境变量来管理不同环境（开发、测试、生产）的配置，如数据库连接字符串、API 密钥等。
编写日志：使用ILogger<T>接口记录信息、警告和错误日志。这有助于生产环境的问题诊断。
安全第一：
- 始终使用防伪令牌：在所有修改数据的表单中使用@Html.AntiForgeryToken()或<form>标签帮助器。
- 防止跨站脚本（XSS）：Razor 视图默认会对输出进行 HTML 编码。只有在明确安全的情况下，才使用@Html.Raw()。
- SQL 注入防护：使用 Entity Framework Core 等 ORM 或参数化查询，切勿拼接 SQL 字符串。
规划项目结构：即使是中小型项目，也建议按功能模块组织Pages文件夹（例如Pages/Products/,Pages/Orders/），使结构清晰。