Node.js中multer、CSRF与express-validator协同使用的冲突解决问询

你的核心矛盾在于：CSRF验证需要读取表单里的令牌，但multipart/form-data请求得靠multer解析才能拿到req.body；可提前运行multer又会在文本验证失败时仍把图片上传到磁盘。这里有个针对性的解决思路：

用multer的内存存储先解析整个请求（包括文本字段和文件），让CSRF能拿到令牌完成验证，同时express-validator可以正常校验文本字段；只有当验证通过后，再把内存里的文件写入磁盘，验证失败的话内存中的文件会自动被回收，不会留下冗余文件。

步骤1：修改multer配置为内存存储 #

把原来的磁盘存储换成内存存储，这样文件只会暂存在内存里，不会直接写到磁盘：

const multer = require('multer');
const uuidv4 = require('uuid').v4;

// 改用内存存储替代磁盘存储
const fileStorage = multer.memoryStorage();
  
const fileFilter = (req, file, cb) => {
  if (file.mimetype === "image/jpeg" || file.mimetype === "image/jpg" || file.mimetype === "image/png") {
    cb(null, true);
  } else {
    cb(null, false);
  }
};

// 导出multer实例，保持single("image")的配置
module.exports = multer({ storage: fileStorage, fileFilter: fileFilter }).single("image");

步骤2：调整路由中间件顺序 #

把multer放到express-validator之前，这样multer先解析请求，CSRF中间件能拿到req.body里的令牌，同时校验器可以读取文本字段做验证：

const { productValidators } = require('../middleware/validators')
const multer = require('../middleware/multer')

router.post("/add-product", isAuth, multer, productValidators, adminController.postAddProduct);
    
router.post("/edit-product", isAuth, multer, productValidators, adminController.postEditProduct);

步骤3：修改控制器，验证通过后再保存文件 #

在控制器里先检查验证结果，只有验证通过时，才把内存里的文件写入磁盘：

const fs = require('fs');
const path = require('path');
const uuidv4 = require('uuid').v4;
const { validationResult } = require('express-validator');

exports.postAddProduct = (req, res, next) => {
  // 先获取验证错误信息
  const errors = validationResult(req);
  if (!errors.isEmpty()) {
    // 验证失败，直接返回，内存中的文件会被自动回收
    return res.status(422).render('admin/edit-product', {
      pageTitle: 'Add Product',
      path: '/admin/add-product',
      errorMessage: errors.array()[0].msg,
      // 补充你的其他渲染数据
    });
  }

  // 验证通过，生成文件名并写入磁盘
  const fileName = uuidv4() + '-' + req.file.originalname;
  const filePath = path.join(__dirname, '../', 'images', fileName);
  
  fs.writeFile(filePath, req.file.buffer, (err) => {
    if (err) {
      return next(err);
    }
    // 执行你的产品保存逻辑
    const product = new Product({
      title: req.body.title,
      price: req.body.price,
      description: req.body.description,
      imageUrl: '/images/' + fileName,
      userId: req.user
    });
    product.save()
      .then(() => {
        res.redirect('/admin/products');
      })
      .catch(err => next(err));
  });
};

补充说明 #

• 内存存储的文件大小默认限制为1MB，如果你的图片较大，可以在multer配置里通过limits参数调整，比如multer({ storage: fileStorage, fileFilter: fileFilter, limits: { fileSize: 5 * 1024 * 1024 } })（限制为5MB）。
• 这种方式既满足了CSRF验证的需求，又保证了只有文本验证通过时才会真正上传图片，完全解决你的矛盾。

内容的提问来源于stack exchange，提问作者Tehila