如何配置Express的query parser仅允许arr[]格式传递数组参数？

Express默认使用qs库解析查询字符串，但没有内置配置可以强制数组参数必须通过arr[]这种方括号格式传递。要实现你的需求，需要通过自定义中间件检查原始查询字符串，拦截不符合规范的参数传递方式。

核心思路 #

直接检查原始查询字符串中是否存在不带方括号的arr参数（即arr=形式的键），如果存在则直接返回错误；同时保留arr[]格式的正常解析逻辑。

实现方案一：先检查再解析 #

这种方式先拦截非法参数，再用qs完成正常解析：

const express = require('express');
const qs = require('qs');
const app = express();

// 自定义查询参数校验与解析中间件
app.use((req, res, next) => {
  const queryPart = req.url.split('?')[1] || '';
  const rawParams = new URLSearchParams(queryPart);

  // 检查是否存在不带方括号的arr参数
  if (rawParams.has('arr')) {
    return res.status(400).json({ error: '数组参数arr必须使用arr[]格式传递' });
  }

  // 用qs正常解析符合规范的参数
  req.query = qs.parse(queryPart);
  next();
});

// 示例接口
app.get('/hello', (req, res) => {
  res.json({
    foo: req.query.foo,
    arr: req.query.arr || []
  });
});

app.listen(3000, () => {
  console.log('服务启动在3000端口');
});

实现方案二：默认解析后再校验 #

如果你想保留Express默认的查询参数解析流程，可以在解析完成后，通过正则检查原始查询字符串：

const express = require('express');
const app = express();

// 使用默认的qs解析器
app.use(express.urlencoded({ extended: true }));

// 自定义非法参数校验中间件
app.use((req, res, next) => {
  const queryPart = req.url.split('?')[1] || '';
  // 匹配所有不带方括号的arr参数（排除arr[]=的合法情况）
  const invalidArrRegex = /(?:^|&)arr=/;
  
  if (invalidArrRegex.test(queryPart)) {
    return res.status(400).json({ error: '数组参数arr必须使用arr[]格式传递' });
  }
  next();
});

// 示例接口
app.get('/hello', (req, res) => {
  res.json({
    foo: req.query.foo,
    arr: req.query.arr || []
  });
});

app.listen(3000, () => {
  console.log('服务启动在3000端口');
});

效果验证 #

两种方案都会拦截你提到的三种非法传递方式：

• https://example.com/hello?arr=abc&arr=xyz：检测到arr键，返回400错误
• https://example.com/hello?arr=abc,xyz：检测到arr键，返回400错误
• https://example.com/hello?arr=abc：检测到arr键，返回400错误

只有https://example.com/hello?foo=bar&arr[]=abc&arr[]=xyz或https://example.com/hello?arr[]=abc这种方括号格式会被正常解析为数组。

内容的提问来源于stack exchange，提问作者kris