Mongoose查询不存在文档时应用崩溃异常排查

问题场景 #

使用以下接口根据URL参数ID查询文章时，存在的ID可正常返回JSON响应；但查询不存在的ID（尤其是格式不符合MongoDB ObjectId规范的ID）时，终端会输出包含MongoDB连接地址、明文账号密码等敏感信息的错误栈，而非预期的204提示响应。

相关代码：

const Article = require('../model/Article');
const User = require('../model/User');
const jwt = require ('jsonwebtoken');
const ROLES_LIST = require('../config/roles_list');
const verifyRoles = require('../middleware/verifyRoles');

// Other methods in this space //

const getArticle = async (req, res) => {
    if (!req?.params?.id) return res.status(400).json({ message: 'Article ID required.'});

    const article = await Article.findOne({ _id: req.params.id}).exec();
    if (!article) {
        return res.status(204).json({ message: `Article ID ${req.params.id} not found.`});
    }
    res.json(article);
    //For some reason, an ID that doesn't exist in the database tries to reply with the structure of the entire database.
};

// One more method here //

module.exports = { 
    handleNewArticle,
    getAllArticles,
    deleteArticle,
    getArticle,
    editArticle
};

问题原因 #

当传入的ID格式不符合MongoDB ObjectId规范时，findOne/findById会抛出格式验证错误，而代码未对异步查询做错误捕获，导致Node.js将完整错误栈（包含数据库连接配置等敏感信息）输出到终端。即使ID格式合法但文档不存在，若数据库查询过程中出现其他异常（如连接中断），也会触发同样的问题。

解决方案 #

通过前置ID格式验证+异步操作错误捕获+全局错误处理三层防护，避免敏感信息泄露：

1. 验证ID格式合法性
   使用Mongoose提供的ObjectId.isValid()方法，先检查参数ID是否符合MongoDB ObjectId格式，不合法直接返回400错误。

2. 捕获异步查询错误
   用try/catch包裹数据库查询逻辑，捕获所有异常，仅在终端打印错误消息（而非完整栈），并返回通用错误响应给客户端。

3. 添加全局错误处理中间件
   为Express应用添加全局错误处理中间件，兜底处理所有未捕获的异常。

修改后的代码示例：

const { ObjectId } = require('mongoose');
const Article = require('../model/Article');
// 其他依赖...

const getArticle = async (req, res) => {
    const articleId = req?.params?.id;
    if (!articleId) return res.status(400).json({ message: 'Article ID required.'});

    // 验证ID格式
    if (!ObjectId.isValid(articleId)) {
        return res.status(400).json({ message: `Invalid Article ID format: ${articleId}` });
    }

    try {
        const article = await Article.findOne({ _id: articleId }).exec();
        if (!article) {
            return res.status(204).json({ message: `Article ID ${articleId} not found.`});
        }
        res.json(article);
    } catch (err) {
        // 仅打印错误消息，避免泄露敏感信息
        console.error('Fetch article failed:', err.message);
        res.status(500).json({ message: 'Failed to retrieve article.' });
    }
};

全局错误处理中间件（添加在所有路由之后）：

app.use((err, req, res, next) => {
    console.error('Server error:', err.message);
    res.status(500).json({ message: 'Internal server error.' });
});

效果验证 #

• 传入格式错误的ID：返回400错误，终端仅打印格式错误消息
• 传入格式合法但不存在的ID：返回204错误，无敏感信息输出
• 数据库查询出现其他异常：返回500错误，终端仅打印错误消息，不泄露连接配置

内容的提问来源于stack exchange，提问作者Borwin