如何在Node.js中通过ObjectId更新数据并为app.patch添加自定义验证器

要限制仅能更新指定字段，我们可以在请求处理逻辑中先做字段合法性校验，再执行数据库更新操作。以下是修改后的完整代码：

app.patch("/users/:id", async (req, res) => {
  // 定义允许更新的字段列表，根据业务需求调整
  const allowedUpdates = ['name', 'email', 'password'];
  // 获取请求体中的所有字段名
  const requestedUpdates = Object.keys(req.body);
  // 验证所有请求字段是否都在允许列表内
  const isAllUpdatesAllowed = requestedUpdates.every(update => allowedUpdates.includes(update));

  if (!isAllUpdatesAllowed) {
    return res.status(400).send({ error: "不允许更新指定字段外的内容" });
  }

  // 可选：过滤请求体，只保留允许更新的字段（更安全的做法）
  const filteredUpdateData = requestedUpdates.reduce((acc, key) => {
    acc[key] = req.body[key];
    return acc;
  }, {});

  try {
    // 使用过滤后的字段执行更新，同时开启验证器
    const user = await User.findByIdAndUpdate(
      req.params.id, 
      filteredUpdateData, 
      {
        runValidators: true, // 开启Mongoose模型定义的验证规则
        new: true // 返回更新后的文档而非原始文档
      }
    );

    if (!user) {
      return res.status(404).send({ error: "未找到指定用户" });
    }

    res.send(user);
  } catch (e) {
    // 捕获验证错误或数据库错误
    res.status(400).send({ error: e.message });
  }
});

关键逻辑说明 #

• 字段白名单校验：通过allowedUpdates定义允许更新的字段，用every方法检查所有请求字段是否都在白名单内，非法字段直接返回400错误。
• 请求体过滤：用reduce生成仅包含允许字段的对象，避免恶意提交的字段进入数据库操作，进一步提升安全性。
• findByIdAndUpdate参数：runValidators: true会触发Mongoose Schema中定义的字段验证规则（比如邮箱格式、密码长度等），new: true确保返回的是更新后的用户数据。

自定义字段验证器（Schema层面） #

如果需要针对特定字段做更复杂的验证（比如密码强度、邮箱格式），可以在Mongoose User模型的Schema中定义自定义验证器：

const userSchema = new mongoose.Schema({
  email: {
    type: String,
    required: true,
    // 自定义邮箱格式验证器
    validate: {
      validator: function(v) {
        return /^\w+([.-]?\w+)*@\w+([.-]?\w+)*(\.\w{2,3})+$/.test(v);
      },
      message: props => `${props.value} 不是合法的邮箱格式！`
    }
  },
  password: {
    type: String,
    required: true,
    // 自定义密码长度验证
    validate: {
      validator: function(v) {
        return v.length >= 6;
      },
      message: '密码长度不能少于6位'
    }
  }
});

const User = mongoose.model('User', userSchema);

这样在执行findByIdAndUpdate时，开启runValidators: true就会自动触发这些自定义验证规则，不符合要求的更新请求会被拦截并返回错误。

内容的提问来源于stack exchange，提问作者Ganeshan Kugathas