node.js - 在 Mongoose 中清理用户输入

Question

this fairly uninformative answer 除外和另一个 unpopular answer ，我似乎找不到任何关于使用 Mongoose 清理用户输入的资源。

有一个 blog post here关于 Node/MongoDB 注入(inject)，这在服务器级别看起来不错，但在中间件级别(即 Mongoose)必须有一些东西可以净化输入并确保数据库中的合理安全性。

有这样的野兽，还是有必要？

Answer 1

好像是 mongo-sanitize npm 模块是原始转义功能的起点。老实说，这在连接/表达中间件层听起来更合适，因为在 mongoose 层，根据设计，代码不会对查询/更新参数施加任何期望，即它们是否由应用程序开发人员编写(在这种情况下，它们不得进行清理，否则它们将无法正常运行)或涉及用户输入(必须进行清理)。因此，我建议使用中间件函数来清理最常见的用户输入输入位置:req.body、req.query 和 req.params。因此，例如，您可能会执行类似(草图)的操作:

var json = require("body-parser").json;
var sanitize = require("mongo-sanitize");

function cleanBody(req, res, next) {
  req.body = sanitize(req.body);
  next();
}

function updateUser(req, res) {
  //...
  // safe to build an update query involving req.body here
}
app.put("/api/users", json(), cleanBody, updateUser);