使用MongoDB+Node.js开发应用：MongoDB是否自动过滤恶意代码？

直接给结论：不行。MongoDB的核心定位是文档型数据库，负责数据的存储、查询与管理，本身没有设计内容安全过滤的能力，更没法识别和拦截你举例的<script> //malicous code here </script>这类XSS恶意代码。

为什么MongoDB做不到？ #

• MongoDB的文档验证器（Document Validation）只能做基础格式校验，比如字段类型、长度范围，没法识别语义层面的恶意代码。它能检查某个字段是不是字符串，但判断不出这个字符串里藏着恶意脚本。
• MongoDB会原样存储用户提交的内容，不会自动对HTML标签、脚本代码做转义或过滤。你提交的<script>代码会原封不动存在库里，后续如果直接渲染到前端，照样会触发XSS攻击。

正确的处理方式 #

恶意代码过滤必须在Node.js应用层完成，推荐这几个步骤：

• 输入阶段过滤/转义：用专门的安全库比如xss，对用户提交的所有内容做处理，把危险的HTML标签、脚本代码转成安全的实体字符。比如把<script>转成<script>，这样存到数据库里的内容就不会触发执行。
• 输出阶段转义：如果必须存储原始内容，在把数据渲染到前端页面时，一定要对输出内容做HTML转义，避免浏览器解析执行恶意脚本。
• MongoDB验证器辅助：可以用MongoDB的文档验证器做基础的内容格式检查，但这只能当补充，绝对不能依赖它拦截恶意代码。

内容的提问来源于stack exchange，提问作者Hamada Elwarky