如何在Express+Sequelize中禁止更新模型指定参数？

有三种实用方式可以限制用户更新id、userId这类敏感字段，同时允许任意数量的合法参数更新：

1. 手动白名单过滤请求体 #

直接从req.body中提取允许更新的字段，丢弃其他字段，适合单接口场景：

// 定义允许更新的字段白名单
const allowedUpdateFields = ['name', 'description'];

// 筛选合法的更新数据
const validUpdateData = {};
for (const key of Object.keys(req.body)) {
  if (allowedUpdateFields.includes(key)) {
    validUpdateData[key] = req.body[key];
  }
}

// 或者用ES6简洁写法
// const validUpdateData = Object.fromEntries(
//   Object.entries(req.body).filter(([key]) => allowedUpdateFields.includes(key))
// );

// 执行更新
await Book.update(validUpdateData, {
  where: { id: req.params.bookId }
});

2. 利用Sequelize的attributes选项限制更新字段 #

Sequelize的update方法支持通过attributes参数指定允许更新的字段列表，请求体中的其他字段会被自动忽略：

await Book.update(req.body, {
  where: { id: req.params.bookId },
  // 仅允许更新以下字段
  attributes: ['name', 'description']
});

3. 封装中间件统一处理字段过滤 #

如果多个接口都需要类似限制，可以封装通用中间件，避免重复代码：

// 生成字段过滤中间件的工具函数
function createFieldFilterMiddleware(allowedFields) {
  return (req, _, next) => {
    req.body = Object.fromEntries(
      Object.entries(req.body).filter(([key]) => allowedFields.includes(key))
    );
    next();
  };
}

// 在路由中使用中间件
app.put('/books/:id', createFieldFilterMiddleware(['name', 'description']), async (req, res) => {
  const [updatedRows] = await Book.update(req.body, {
    where: { id: req.params.id }
  });
  
  res.json({
    message: updatedRows > 0 ? '更新成功' : '未找到对应条目',
    updatedRows
  });
});

注意：无论用哪种方式，都要确保更新操作的where条件可靠（比如从用户身份信息或URL参数获取合法id），避免被恶意构造的条件篡改数据。

内容的提问来源于stack exchange，提问作者B.T