如何在数据库层面强制执行Mongoose Schema验证？

核心思路 #

Mongoose的验证确实是应用层实现的，但你可以将Mongoose Schema转换为MongoDB原生的文档验证规则（$jsonSchema），在集合层面开启强制验证。这样无论哪个服务直接操作数据库，都会触发DB级别的验证，彻底解决跨服务验证缺失的问题。

具体操作步骤 #

1. 将Mongoose Schema转换为MongoDB验证规则 #

MongoDB支持通过$jsonSchema定义集合的结构验证规则，你可以手动将Mongoose Schema的验证逻辑映射过去，也可以借助工具简化转换。

示例转换：

假设你的Mongoose Schema是：

const userSchema = new mongoose.Schema({
  name: { type: String, required: true, minlength: 2 },
  email: { type: String, required: true, match: /^[\w-\.]+@([\w-]+\.)+[\w-]{2,4}$/ },
  age: { type: Number, min: 18, max: 100 }
});

对应的MongoDB验证规则如下：

const mongoValidationSchema = {
  $jsonSchema: {
    bsonType: "object",
    required: ["name", "email"],
    properties: {
      name: {
        bsonType: "string",
        minLength: 2,
        description: "必须是字符串且长度至少2个字符"
      },
      email: {
        bsonType: "string",
        pattern: "^[\\w-\\.]+@([\\w-]+\\.)+[\\w-]{2,4}$",
        description: "必须是有效的邮箱格式"
      },
      age: {
        bsonType: "number",
        minimum: 18,
        maximum: 100,
        description: "年龄必须在18到100之间"
      }
    }
  }
};

注意：Mongoose的自定义验证函数（比如自定义密码强度校验）无法直接映射到$jsonSchema，这类逻辑需要用MongoDB触发器或数据库函数补充实现。

2. 在集合上启用文档验证 #

你可以通过Mongoose或原生MongoClient给集合添加验证规则：

方式一：创建新集合时直接启用

// 用Mongoose创建带验证的集合
await mongoose.connection.createCollection('users', {
  validator: mongoValidationSchema,
  validationLevel: 'strict', // 可选：strict（默认，验证所有操作）/ moderate（仅验证修改的字段）
  validationAction: 'error' // 可选：error（默认，拒绝非法操作）/ warn（记录警告但允许）
});

方式二：修改已有集合的验证规则

如果集合已经存在，执行collMod命令更新验证规则：

await mongoose.connection.command({
  collMod: 'users',
  validator: mongoValidationSchema,
  validationLevel: 'strict',
  validationAction: 'error'
});

3. 处理Mongoose独有的验证逻辑 #

对于$jsonSchema不支持的自定义验证（比如复杂的业务规则），可以用以下方式补充：

• MongoDB触发器：如果使用MongoDB Atlas，创建插入/更新前的触发器，在触发器中编写自定义校验逻辑，不符合规则则抛出错误阻止操作。
• 数据库函数：定义DB级别的函数，在插入/更新时调用该函数做额外校验。

4. 简化转换的工具选项 #

如果不想手动转换Schema，可以使用第三方库（如mongoose-json-schema）自动生成MongoDB的$jsonSchema，但需要注意测试转换后的规则，部分Mongoose特性无法完全映射。

关键注意事项 #

• 启用验证前，确保集合中已有文档都符合新的验证规则，否则后续更新操作会失败。可以先使用validationLevel: 'moderate'过渡，或批量修正历史数据。
• 根据业务需求选择validationAction：如果允许临时的非法数据（仅记录警告），可以设为warn；如果必须严格拦截，保持默认的error。

内容的提问来源于stack exchange，提问作者Ibrahim Farooq