MongoDB中Entity与DTO间ObjectId字段的安全处理方案咨询

问题描述 #

我正在学习使用MongoDB的全新Entity Framework Core提供程序，现咨询Entity与DTO间ObjectId字段的标准处理方式。若直接将包含以下定义的Entity返回给前端：

public class Person
{
    public ObjectId Id { get; set; }
    ...
}

会得到如下返回结果：

{"id":
   {
     "timestamp":1710691969,
      "machine":11536991,
      "pid":-3484,
      "increment":12721767,
      "creationTime":"2024-03-17T16:12:49Z"
   }
}

出于封装性与安全性考虑，我不希望将此类数据发送给客户端。我通常不会直接返回Entity给前端（上述仅为示例），因此可能会使用Person DTO传递给前端，将Person.Id映射为PersonDTO的字符串类型Id字段，反之亦然。该方案我已在多篇文章与文档中了解到，虽解决了封装问题，但仍担心客户端会获取到machine、pid、timestamp等元数据。此外，我看到有帖子提到MongoDB v3之后ObjectId不应包含机器标识符，但我使用MongoDB 7时仍存在该字段。恳请提供一种安全的处理方法。

安全处理方法 #

• DTO映射时严格转换为字符串：在Entity转DTO的过程中，直接调用ObjectId.ToString()方法将其转为标准的24位十六进制字符串（例如"65f7d2a1a1b2c3d4e5f6a7b8"），而非直接序列化ObjectId对象。这样前端只会拿到纯字符串ID，完全不会暴露任何元数据。示例代码：

  // DTO定义
  public class PersonDTO
  {
      public string Id { get; set; }
      // 其他业务字段...
  }
  
  // Entity转DTO的映射逻辑
  var personDTO = new PersonDTO
  {
      Id = person.Id.ToString(),
      // 映射其他字段
  };
  

• 全局配置JSON序列化规则：如果存在偶尔需要直接返回Entity的场景，可以通过配置JSON序列化器，强制将ObjectId类型序列化为字符串。以System.Text.Json为例，添加自定义转换器并全局注册：

  public class ObjectIdConverter : JsonConverter<ObjectId>
  {
      public override ObjectId Read(ref Utf8JsonReader reader, Type typeToConvert, JsonSerializerOptions options)
      {
          return ObjectId.Parse(reader.GetString());
      }
  
      public override void Write(Utf8JsonWriter writer, ObjectId value, JsonSerializerOptions options)
      {
          writer.WriteStringValue(value.ToString());
      }
  }
  
  // 在Program.cs中注册
  builder.Services.AddControllers()
      .AddJsonOptions(options =>
      {
          options.JsonSerializerOptions.Converters.Add(new ObjectIdConverter());
      });
  

  配置后，即使不小心返回了包含ObjectId的Entity，序列化结果也只会是字符串形式的ID，不会泄露元数据。

• 关于MongoDB 7的ObjectId字段说明：MongoDB v3之后只是调整了ObjectId的生成逻辑，不再依赖机器MAC地址生成唯一标识，但ObjectId的结构并未改变——machine、pid等字段依然存在（只是machine字段不再是MAC地址的哈希值）。这些字段本身不存在严重安全风险，但从封装性角度，依然不应该暴露给前端，通过上述两种方法即可完全屏蔽。

内容的提问来源于stack exchange，提问作者user23145140