javascript - 当从数据库本身获取 modelObject 时， modelObject.save() 是否仅更新现有数据库文档？

Question

要使用一个示例来演示该问题，假设我有一个由以下架构定义的用户模型:

var UserSchema = new Schema({ 
    username: String,
    email: String
}
mongoose.model('User', UserSchema);

我知道要使用保存方法更新用户，我可以查询用户，然后保存更改，如下所示:

User.findOne({username: usernameTofind}, function(err, user) {
    //ignore errors for brevity
    user.email = newEmail;
    user.save(function(err) { console.log('User email updated') });
});

但是，如果我尝试使用完全相同的字段值(包括 _id)创建一个新的 User 对象，是否有可能覆盖数据库文档？我认为不会，因为从理论上讲，这意味着恶意用户可以利用不安全的 api 并覆盖现有文档(例如使用“创建新帐户”请求，这不会/不能依赖于已经存在的用户)正在验证)，但更重要的是，当我尝试使用请求工具执行此操作时(我正在使用 Postman，但我确信类似的 curl 命令就足够了)，我收到重复的 _id 错误

MongoError: insertDocument :: caused by :: 11000 E11000 duplicate key error index

所以我只是想澄清一下，更新现有文档的唯一方法是查询文档，修改返回的实例，然后调用该实例的 save 方法，或者使用静态 update()。这两者都可以通过要求身份验证来保证安全。

如果有帮助的话，我提出这个问题的动机如上所述，因为我想确保如果公开暴露如下方法，用户无法覆盖现有文档:

userCtrl.create = function(req, res, next) {
    var user = new User(req.body);

    user.save(function(err) {
        if (err) {
            return next(err);
        } else {
            res.json(user);
        }
    });
};

快速编辑:我刚刚意识到，如果是这种情况，那么数据库如何知道查询的实例和具有完全相同的键和属性的新 User 对象之间的区别？

Answer 1

Does modelObject.save() only update an existing database document when the modelObject was obtained from the database itself?

是的，确实如此。有一个标志指示文档是否是新的。如果是新的，Mongoose 将插入该文档。如果没有，那么它将更新文档。该标志是 Document#isNew。

当您找到文档时:

User.findOne({username: usernameTofind}, function(err, user) {
    //ignore errors for brevity
    console.log(user.isNew) // => will return false
});

当您创建新实例时:

var user = new User(req.body);
console.log(user.isNew) // => will return true

So I just want to clarify that the only way to update an existing document is to query for the document, modify the returned instance, then call the save method on that instance, OR use the static update(). Both of these could be secured by requiring authentication.

还有其他方法可以更新文档，使用 Model#update , Model.findOneAndUpdate和 others .

但是，您无法更新 _id 字段。即使 Mongoose 尚未发出正确的数据库命令，MongoDB 也不会允许这样做。如果你尝试一下，你会得到类似这样的错误:

The _id field cannot be changed from {_id: ObjectId('550d93cbaf1e9abd03bf0ad2')} to {_id: ObjectId('550d93cbaf1e9abd03bf0ad3')}.

但是假设您使用问题中的最后一段代码来创建新用户，Mongoose 将发出 insert 命令，因此有人无法覆盖现有文档。即使它在请求正文中传递了_id字段，MongoDB也会抛出E11000重复键错误索引错误。

此外，您应该先过滤用户可以作为负载传递的字段，然后再使用它们创建用户。例如，您可以创建一个接收对象和允许参数数组的通用函数:

module.exports = function(object, allowedParams) {
    return Object.keys(object).reduce(function(newObject, param) {
        if (allowedParams.indexOf(param) !== -1)
            newObject[param] = object[param];

        return newObject;
    }, {});
}

然后你只需要并使用该函数来过滤请求正文:

var allow = require('./parameter-filter');

function filter(params) {
    return allow(params, ["username", "email"]);
}

var user = new User(filter(req.body));