如何在Mongoose中用findOne的select方法获取完整嵌套对象，无需逐个指定子字段

背景代码 #

用户 Schema 定义 #

const UserSchema = new mongoose.Schema({
    username: { type: String, required: true },
    email: { type: String, required: true },
    authentication: {
        password: { type: String, required: true, select: false },
        salt: { type: String, select: false },
        sessionToken: { type: String, select: false },
    },
});
const UserModel = mongoose.model('User', UserSchema);

辅助查询函数 #

const getUserByEmail = (email: string) => UserModel.findOne({ email });

问题说明 #

当前要获取 authentication 对象中的 password 和 salt，必须显式指定子字段：

const user = await getUserByEmail(email).select('+authentication.salt +authentication.password');

但如果仅使用 .select('+authentication')，返回的 user.authentication 是空对象，无法拿到里面的字段。

解决方案及原因 #

原因 #

因为 authentication 的每个子字段都单独设置了 select: false，这会强制这些字段默认不被查询返回。即使指定包含父字段 authentication，子字段的隐藏设置依然生效，所以得到空对象。

可行方案 #

1. 显式指定所有需要的子字段
   直接把 authentication 下所有需要的字段都通过 + 符号添加到 select 中：

   const user = await getUserByEmail(email).select('+authentication.password +authentication.salt +authentication.sessionToken');
   

2. 封装查询方法简化调用
   在 UserModel 中添加静态方法，封装完整的查询逻辑，避免每次重复写字段：

   UserModel.statics.getUserWithFullAuth = function(email) {
     return this.findOne({ email }).select('+authentication.password +authentication.salt +authentication.sessionToken');
   };
   

   使用时直接调用：

   const user = await UserModel.getUserWithFullAuth(email);
   

3. 修改 Schema 默认配置（谨慎使用）
   如果业务场景中经常需要获取完整的 authentication 对象，可以修改 Schema，去掉子字段的 select: false，转而在不需要这些字段的查询中显式排除：

   const UserSchema = new mongoose.Schema({
       username: { type: String, required: true },
       email: { type: String, required: true },
       authentication: {
           password: { type: String, required: true },
           salt: { type: String },
           sessionToken: { type: String },
       },
   });
   

   之后在不需要敏感字段的查询中排除：

   const user = await getUserByEmail(email).select('-authentication.password -authentication.salt -authentication.sessionToken');
   

   注意：这种方法会让敏感字段默认被返回，需要确保所有查询都做好权限控制，避免数据泄露。

内容的提问来源于stack exchange，提问作者sohdata