Node/Express创建用户时请求参数被忽略，使用默认值问题求助

核心原因 #

你的Mongoose Schema定义本身没问题，问题出在创建用户的后端路由处理逻辑里——你大概率做了请求体字段过滤，没有把role和passwordChangedAt包含在允许传入的字段列表中，导致这两个字段根本没被传递给Mongoose的create()方法，所以：

• role字段因为没收到值，Mongoose自动使用了Schema中定义的默认值user
• passwordChangedAt字段完全没被处理，自然无法存入数据库

解决方案 #

1. 调整请求体字段过滤逻辑

找到你创建用户的路由代码（通常是类似router.post('/users', ...)的逻辑），检查是否有类似以下的字段过滤代码：

// 示例：错误的过滤逻辑，只允许部分字段
const filteredBody = filterObj(req.body, 'name', 'email', 'password', 'passwordConfirm');
const newUser = await User.create(filteredBody);

把role和passwordChangedAt加入允许的字段列表：

// 修改后的过滤逻辑
const filteredBody = filterObj(req.body, 'name', 'email', 'password', 'passwordConfirm', 'role', 'passwordChangedAt');
const newUser = await User.create(filteredBody);

如果是手动提取字段（比如const {name, email} = req.body），也要把这两个字段加上：

const {name, email, password, passwordConfirm, role, passwordChangedAt} = req.body;
const newUser = await User.create({
  name,
  email,
  password,
  passwordConfirm,
  role,
  passwordChangedAt
});

2. 可选：控制role字段的权限（安全优化）

如果不希望普通用户注册时随便设置admin这类高权限角色，可以在过滤后添加权限判断，只有管理员用户创建新用户时才能指定role：

// 假设你有用户认证逻辑，req.user是当前登录用户
if (req.user?.role !== 'admin') {
  // 普通用户创建时，强制移除role字段，使用Schema默认值
  delete filteredBody.role;
}

3. 自动设置passwordChangedAt（可选优化）

如果你的需求是用户修改密码时自动记录修改时间，而不是手动传入，可以修改Mongoose的pre('save')钩子，在密码修改时自动设置该字段：

userSchema.pre('save', async function(next) {
  // 只有密码被修改时才执行后续逻辑
  if (!this.isModified('password')) return next();

  // 哈希密码
  this.password = await bcrypt.hash(this.password, 14);
  // 清除确认密码（不需要存到数据库）
  this.passwordConfirm = undefined;

  // 如果是修改密码（不是新创建用户），设置修改时间
  // 减去1秒是为了避免JWT生成时间和修改时间的毫秒级误差
  if (!this.isNew) {
    this.passwordChangedAt = Date.now() - 1000;
  }

  next();
});

内容的提问来源于stack exchange，提问作者Sam