NodeJS Web应用API参数验证：前端还是后端？如何简化实现？

一、API端必须做参数验证 #

绝对不能仅依赖前端验证，原因如下：

• 前端验证可被轻松绕过：用户可通过curl、Postman等工具直接调用API，或篡改前端代码、请求参数，跳过前端校验逻辑。
• 前端输入不可信：网络传输中参数可能被篡改，且前端本身可能存在逻辑漏洞，导致非法参数流入后端。
• API是数据安全的最后防线：缺少后端验证会引发数据库报错、业务逻辑异常，甚至导致SQL注入、越权操作等安全问题。

二、NodeJS中更简洁的参数验证方式 #

1. 优化原生写法（避免重复解析） #

先一次性解析请求体，再做校验，避免重复调用JSON.parse：

const body = JSON.parse(event.body);
if (!body.user_id) {
  throw new Error('Parameter user_id is required');
}
const user_id = body.user_id;

2. 使用专业验证库（推荐） #

Joi（成熟稳定，功能丰富）

安装依赖：

npm install joi

示例代码：

const Joi = require('joi');

// 定义参数验证规则
const schema = Joi.object({
  user_id: Joi.string().required().messages({
    'any.required': 'Parameter user_id is required',
    'string.empty': 'Parameter user_id cannot be empty'
  }),
  age: Joi.number().integer().min(18).required().messages({
    'number.min': 'Age must be at least 18'
  })
});

const body = JSON.parse(event.body);
const { error, value } = schema.validate(body);
if (error) {
  throw new Error(error.details[0].message);
}

// 验证通过后直接使用结构化参数
const { user_id, age } = value;

Zod（现代轻量，TypeScript友好）

安装依赖：

npm install zod

示例代码：

const { z } = require('zod');

// 定义参数校验Schema
const userSchema = z.object({
  user_id: z.string().nonempty('Parameter user_id is required'),
  age: z.number().int().min(18, 'Age must be at least 18')
});

const body = JSON.parse(event.body);
try {
  const validatedData = userSchema.parse(body);
  // 直接使用校验后的参数
  const { user_id, age } = validatedData;
} catch (err) {
  throw new Error(err.issues[0].message);
}

3. 自定义简易验证函数（无依赖场景） #

如果不想引入第三方库，可封装批量校验函数：

function checkRequiredParams(params, requiredFields) {
  const missing = requiredFields.filter(field => !(field in params) || !params[field]);
  if (missing.length) {
    throw new Error(`Missing required parameters: ${missing.join(', ')}`);
  }
}

const body = JSON.parse(event.body);
// 校验多个必填参数
checkRequiredParams(body, ['user_id', 'email']);
const { user_id, email } = body;

内容的提问来源于stack exchange，提问作者onedumbtrucker