.net - 代码契约可以代替参数验证吗？

Question

另一个人 asked a similar question但我不清楚答案。

我们项目中有很多参数验证代码。它们大多只是公共(public)方法中的空参数检查:

if (param == null)
{
  throw new ArgumentNullException("param");
}

这些检查不是规范的一部分。它们的主要用途是在出现编程错误时获得更合理的堆栈转储。如果没有完成这样一个简单的检查，您可能会在堆栈的十层深度处在其他库中间的随机位置，并出现 NullReferenceException。这使得整个回溯到根本原因的过程更长。验证检查语义清晰，让您及早发现问题。

由于我们经常这样做，所以我们一直在寻找更短的方法来进行此类检查。如:

ArgumentHelper.ThrowIfNull(param, "param");

或类似的语法。我们想基本上避免开销。 if-throw 语法使代码过长。

当我试验这种语法时，我注意到我正在收敛到类似的语法，如断言和代码契约。代码契约非常有吸引力，因为可以在开发周期的早期进行静态分析和发现错误。

然而，据我所知，代码契约并不是为了解决“输入验证”问题或任何类型的验证问题而设计的。 Because the exceptions raised by it are not meant to be caught .它们的存在也不是为了使调试更容易，因为默认行为是从发布版本中的此类检查中剥离代码。 The rewriter just seems like a hack around it and it's not very performant either .

据我所知，“静态验证”和“参数验证”的目标不同，因此不能互换。然而，在我的序言 if-then-throw 中使用 Code.Contracts 一开始听起来很自然，我想知道我是否做错了什么。

我的问题是:使用代码契约进行参数验证是否有效？是否有一个明确的问题，我可以向任何验证​​代码提出这样的答案:“是的，你可以使用代码契约来检查这个”和“不，你不能使用代码契约来检查那个”？如何区分？

我想出了“如果我删除契约(Contract)声明，该功能会继续正常工作吗？”。这是正确的做法吗？

Answer 1

嗯。我是写出不清楚答案的人:-/。我会试着用不同的方式来表达它。

我会说你的方法是正确的，但有一个复杂的问题。从用户输入验证的角度来看这可能会有所帮助。拿这段代码:

public void SetUserName(string userInput)
{
    if(String.IsNullOrWhitespace(userInput))
        throw new ValidationException("...");       
}

用户完全有可能忘记输入新的用户名；空字符串是此方法可能接收的预期输入之一，它旨在处理它们。

现在假设我们添加了一个处理用户输入的方法:

public string DoSomethingToUserName(string userInput)
{
    return userInput.ToLower();
}

此方法假定 userInput 不为空；正如你所说，如果没有那是真的，它就不会起作用。如果传入空值，则表明有人犯了编程错误。所以我们可以声明它作为方法接口(interface)的一部分，并让静态验证器在有人犯错时警告我们:

public string DoSomethingToUserName(string userInput)
{
    Contract.Requires(userInput != null);

    return userInput.ToLower();
}

如果这发生在运行时，这意味着不仅有人犯了编程错误，而且静态验证器也无法检测到问题，这可能是由于某些反射使用或类似情况，也可能只是因为其中存在错误。因此，以防万一，开启合约重写始终是个好主意，至少在公开的表面合约上如此。

因此，我们仅在没有参数的情况下该方法无法工作的情况下使用契约来检查参数；它们是该方法成功运行的先决条件。如果先决条件失败，那么有人犯了错误，我们不想捕获异常，因为它揭示了一个错误。

当 DoSomethingToUserName 本身并不实际操作用户名时，问题就来了:

public string DoSomethingToUserName(string userInput)
{
    return DoFirstThingToUserName(userInput);
}

private string DoFirstThingToUserName(string userInput)
{
    Contract.Requires(userInput != null);

    return userInput.ToLower();
}

现在，如果用户名为 null，DoFirstThingToUserName 将失败； DoSomethingToUserName 不关心它是否存在。但是，没有人能够通过查看公共(public)接口(interface)来判断 userInput 必须经过预验证。所以我们需要对外公布合约:

public string DoSomethingToUserName(string userInput)
{
    Contract.Requires(userInput != null);

    return DoFirstThingToUserName(userInput);
}

private string DoFirstThingToUserName(string userInput)
{
    Contract.Requires(userInput != null);

    return userInput.ToLower();
}