Node.js表单字段清洗方法及express-validator中req.sanitize报错(TypeError)问题解决

嘿，这个问题我之前也碰到过！原因很简单：express-validator从v6版本开始就移除了req.sanitize()这种挂载在请求对象上的全局方法，旧的用法已经完全废弃了，所以你才会看到这个报错。下面给你详细讲正确的表单清洗姿势：

核心原因 #

express-validator团队在v6重构时，把验证和清洗逻辑改成了中间件链式调用的模式，这样更贴合Express的中间件设计理念，也更灵活可控。旧的req.sanitize()、req.check()等方法都被彻底移除了。

正确的清洗步骤 #

1. 确认依赖版本 #

首先确保你安装的是最新版的express-validator（v6+），如果是旧版本建议升级：

npm install express-validator@latest

2. 引入正确的方法 #

在你的路由文件里，不要再尝试调用req.sanitize，而是从express-validator引入对应的中间件方法：

const { body, validationResult } = require('express-validator');

注：sanitizeBody()方法在新版本里其实是body()的别名，直接用body()就可以同时实现验证和清洗逻辑。

3. 用中间件定义清洗规则 #

把清洗规则作为路由的中间件，链式调用你需要的清洗方法，比如去除空格、转义HTML字符等。下面是完整的路由示例：

const express = require('express');
const router = express.Router();
const { body, validationResult } = require('express-validator');

// 重要提醒：必须在主app文件里配置表单解析中间件，否则req.body会是空的
// app.use(express.urlencoded({ extended: true }));

router.post('/add',
  // 对name字段执行清洗：去除前后空格 + 转义HTML特殊字符（防止XSS攻击）
  body('name').trim().escape(),
  // 可以同时添加验证规则（可选）
  body('name').notEmpty().withMessage('姓名不能为空'),
  (req, res, next) => {
    // 检查是否有验证错误
    const errors = validationResult(req);
    if (!errors.isEmpty()) {
      return res.status(400).json({ errors: errors.array() });
    }

    // 这里的req.body.name已经是清洗后的结果了
    const cleanedName = req.body.name;
    console.log('清洗后的姓名:', cleanedName);

    // 后续业务逻辑...
    res.send(`处理完成，姓名：${cleanedName}`);
  }
);

module.exports = router;

4. 常用的清洗方法 #

express-validator提供了很多实用的清洗方法，你可以根据需求链式组合：

• trim()：去除字符串前后的空格、换行符等空白字符
• escape()：转义HTML特殊字符（比如把<转成<），防止XSS攻击
• toLowerCase()/toUpperCase()：统一转换为小写/大写
• normalizeEmail()：标准化邮箱格式（比如把USER@ExAmPlE.cOm转成user@example.com）
• blacklist('字符')：移除字符串中指定的字符（比如blacklist('<>')）

常见误区提醒 #

• 一定要先配置Express的表单解析中间件（express.urlencoded()），否则req.body会是undefined，清洗自然无效
• 不要混用旧版和新版的用法，比如既用req.sanitize又用中间件，会导致更多错误
• 清洗和验证可以结合在一起写，比如先清洗再验证，这样验证的是清洗后的内容，结果更准确

内容的提问来源于stack exchange，提问作者user_1234