Parse Server升级后beforeSave中无法访问注册用户邮箱的解决办法

问题原因 #

Parse Server 5.x及以后版本对_User类的敏感字段（如email）的查询权限做了严格限制，普通权限无法直接查询_User表中的email字段，这会导致在beforeSave触发器中检查邮箱是否已被使用时触发119权限错误。而直接获取当前待保存用户对象的email字段本身是不受限制的，报错大概率出现在查询其他用户邮箱的操作中。

解决方案 #

1. 直接获取当前待保存用户的邮箱 #

对于新注册的用户，request.object是待保存的用户实例，直接通过get()方法获取email字段无需额外权限，这一步可以正常执行：

const email = request.object.get("email");

2. 执行邮箱非空与格式校验 #

利用获取到的email直接完成前两项校验，无需查询数据库：

// 校验邮箱是否为空
if (!email) {
  throw new Parse.Error(Parse.Error.VALIDATION_ERROR, "邮箱不能为空");
}

// 校验邮箱格式
const emailRegex = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;
if (!emailRegex.test(email)) {
  throw new Parse.Error(Parse.Error.VALIDATION_ERROR, "邮箱格式无效");
}

3. 检查邮箱是否已被注册（需使用Master Key） #

查询_User表验证邮箱唯一性时，必须在查询选项中指定useMasterKey: true以获取权限：

const query = new Parse.Query("_User");
query.equalTo("email", email);

// 使用Master Key执行查询
return query.first({ useMasterKey: true }).then(existingUser => {
  if (existingUser) {
    throw new Parse.Error(Parse.Error.VALIDATION_ERROR, "该邮箱已被注册");
  }
  // 校验通过，允许保存
  return;
});

完整示例代码 #

Parse.Cloud.beforeSave("_User", async (request) => {
  // 仅针对新用户注册的场景（可选，根据需求调整）
  if (!request.object.existed()) {
    const email = request.object.get("email");

    // 校验邮箱非空
    if (!email) {
      throw new Parse.Error(Parse.Error.VALIDATION_ERROR, "邮箱不能为空");
    }

    // 校验邮箱格式
    const emailRegex = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;
    if (!emailRegex.test(email)) {
      throw new Parse.Error(Parse.Error.VALIDATION_ERROR, "邮箱格式无效");
    }

    // 校验邮箱是否已注册
    const query = new Parse.Query("_User");
    query.equalTo("email", email);
    const existingUser = await query.first({ useMasterKey: true });
    if (existingUser) {
      throw new Parse.Error(Parse.Error.VALIDATION_ERROR, "该邮箱已被注册");
    }
  }
});

注意：确保你的Parse Server配置中已正确设置masterKey，且在云函数中使用useMasterKey时遵循安全规范，避免滥用权限。

内容的提问来源于stack exchange，提问作者valdes21