寻求基于用户自定义查询的临时JSON数据高效安全处理方案

内存型MongoDB兼容引擎 #

• MongoDB Memory Server：完全兼容MongoDB查询语法，每个会话可启动独立的内存实例，数据仅存于当前会话内存，会话结束即销毁实例。天然隔离会话数据，彻底避免跨会话访问风险，支持聚合、过滤、排序等所有高级操作，性能接近原生MongoDB，完美匹配类MongoDB查询需求。
• 实现思路：为每个用户会话启动专属内存Mongo实例，将接口获取的JSON数据插入临时集合，执行用户提交的查询后返回结果，会话终止时销毁实例，完全规避注入风险。

JSON查询专用工具 #

• jq（含语言绑定）：支持类MongoDB的灵活查询语法，涵盖过滤、映射、聚合等复杂操作，可直接在内存中处理JSON数据。后端场景用原生jq，前端可用jq-web实现浏览器端查询。所有操作都在内存完成，无需数据库，天然保证会话数据隔离。

• 示例：用户提交聚合查询如.[].amount | sum，jq直接在内存数据集上计算并返回结果。

• MQL解析执行库：使用mql-parser这类库解析用户提交的MongoDB风格查询，然后在内存JSON数组上执行对应逻辑。这种方案灵活性极强，可完全控制数据访问范围，确保仅操作当前会话的JSON数据，适合需要定制化的场景。

嵌入式内存SQL引擎 #

• SQLite内存数据库：每个会话创建独立的内存SQLite库，将JSON数据导入临时表。如果接受用SQL替代MQL，可直接支持用户查询；若坚持类MongoDB语法，可先做MQL到SQL的转换。内存SQLite性能优异，会话间数据完全隔离，结束即销毁，无数据泄露或跨会话注入风险。

关键注意事项 #

• 查询校验：对用户提交的查询做语法校验，避免恶意构造的查询引发内存溢出或执行异常。比如MongoDB Memory Server可启用操作白名单，限制允许的查询类型；jq可提前解析查询语法，确认合法后再执行。
• 资源限制：为每个会话设置内存使用上限、查询超时时间，防止单个恶意请求耗尽服务器资源。

内容的提问来源于stack exchange，提问作者Dzone64