使用Express-Validator验证Multer上传图片数组格式问题求助

问题描述 #

我正在开发一个使用Multer上传名为“images”字段的图片数组的项目，需要验证所有图片均为PNG或JPG格式，但验证功能无法正常工作。我尝试使用Express-Validator编写自定义验证函数检查文件扩展名，但即使上传PDF或XLS文件，Express-Validator也不会抛出错误。以下是我当前使用的代码：

body('images')
  .custom((value, { req }) => {
    const allowedExtensions = ['.png', '.jpg', '.jpeg'];
    for (let i = 0; i < value.length; i++) {
      const ext = path.extname(value[i].originalname);
      if (!allowedExtensions.includes(ext)) {
        throw new Error(`The file ${value[i].originalname} is not a PNG or JPG file`);
      }
    }

    return true;
  })
  .withMessage('The file must be an image in PNG or JPG format')

错误原因分析 #

1. 验证目标错误：body('images')是针对请求体（req.body）中的字段做验证，但Multer上传的文件数组并不存储在req.body里，而是存储在req.files（多文件上传场景下，req.files.images对应字段名为images的文件数组）。你的自定义验证函数根本没有获取到实际的文件数据，所以不会触发错误判断。
2. 仅验证扩展名存在安全隐患：用户可以简单修改文件扩展名（比如把PDF改成.jpg）绕过验证，无法真正确保文件是合法的图片格式，需要结合MIME类型验证。

正确实现方案 #

方法1：结合Express-Validator完成验证 #

首先确保Multer配置正确处理多文件上传，再通过custom验证器读取req.files做格式校验：

const multer = require('multer');
const { custom, validationResult } = require('express-validator');
const path = require('path');

// 初始化Multer，可根据需求选择内存存储或磁盘存储
const upload = multer({ storage: multer.memoryStorage() });

// 路由处理
router.post('/upload', upload.array('images'), [
  custom((_, { req }) => {
    const allowedExtensions = ['.png', '.jpg', '.jpeg'];
    const allowedMimeTypes = ['image/png', 'image/jpeg', 'image/jpg'];
    
    const files = req.files;
    if (!files || files.length === 0) {
      throw new Error('请至少上传一张图片');
    }

    for (const file of files) {
      // 统一转小写避免大小写问题
      const fileExt = path.extname(file.originalname).toLowerCase();
      if (!allowedExtensions.includes(fileExt)) {
        throw new Error(`文件 ${file.originalname} 不是PNG/JPG格式`);
      }
      // 验证MIME类型
      if (!allowedMimeTypes.includes(file.mimetype)) {
        throw new Error(`文件 ${file.originalname} 的格式不符合要求`);
      }
    }
    return true;
  }).withMessage('上传的文件必须是PNG或JPG格式的图片')
], (req, res) => {
  const errors = validationResult(req);
  if (!errors.isEmpty()) {
    return res.status(400).json({ errors: errors.array() });
  }
  // 后续业务逻辑处理
  res.status(200).json({ message: '图片上传成功' });
});

方法2：直接在Multer中配置文件过滤器（更高效） #

可以在Multer初始化阶段就设置fileFilter，提前拦截不符合要求的文件，避免进入后续路由逻辑：

const multer = require('multer');
const path = require('path');

const fileFilter = (req, file, cb) => {
  const allowedExtensions = ['.png', '.jpg', '.jpeg'];
  const allowedMimeTypes = ['image/png', 'image/jpeg', 'image/jpg'];
  
  const fileExt = path.extname(file.originalname).toLowerCase();
  const isValidExt = allowedExtensions.includes(fileExt);
  const isValidMime = allowedMimeTypes.includes(file.mimetype);

  if (isValidExt && isValidMime) {
    // 接受文件
    cb(null, true);
  } else {
    // 拒绝文件并返回错误信息
    cb(new Error('上传的文件必须是PNG或JPG格式的图片'), false);
  }
};

// 初始化Multer并应用过滤器
const upload = multer({ 
  storage: multer.diskStorage({
    // 可配置磁盘存储路径等参数
    destination: (req, file, cb) => {
      cb(null, './uploads');
    },
    filename: (req, file, cb) => {
      cb(null, Date.now() + path.extname(file.originalname));
    }
  }),
  fileFilter: fileFilter
});

// 路由使用
router.post('/upload', upload.array('images'), (req, res) => {
  // 此处已确保所有文件都符合格式要求
  res.status(200).json({ message: '图片上传成功', files: req.files });
});

额外建议 #

如果追求更严格的验证，可以进一步读取文件头部的二进制数据判断是否为真正的PNG/JPG图片（比如检查PNG文件的前8字节是否为89 50 4E 47 0D 0A 1A 0A），防止文件被篡改扩展名和MIME类型。

内容的提问来源于stack exchange，提问作者BautistaCodes