Express连接MySQL查询时如何判断值存在避免属性读取报错

使用mysql2驱动执行查询时，如果WHERE条件没有匹配到任何记录，返回的rows是长度为0的空数组。此时直接访问rows[0].password，本质是读取undefined值的属性，自然会抛出Cannot read properties of undefined reading 'password'错误。

1. 显式判断结果长度（最推荐，逻辑无歧义） #

读取返回字段前先校验结果数组长度，没有匹配记录直接走错误返回逻辑，不要继续执行后续属性读取：

const query = `SELECT password FROM USERS WHERE email=?;`;
// 没用到的fields字段可以直接省略解构，不用声明多余变量
const [rows] = await db.promise().query(query, [req.body.email]);

// 未查询到匹配用户直接返回认证失败
if (rows.length === 0) {
  // 安全提醒：生产环境别返回“邮箱不存在”这类明确提示，容易被攻击者枚举有效账号，统一返回“邮箱或密码错误”即可
  return res.status(401).json({ message: "邮箱或密码错误" });
}

// 确认存在匹配记录后再读取字段，完全不会触发空值报错
const storedPassword = rows[0].password;
console.log(storedPassword);

2. 可选链语法简化写法 #

Node.js 14及以上版本原生支持ES2020的可选链操作符?.，读取嵌套属性时遇到null/undefined会直接返回undefined，不会抛出运行时错误，写法更简洁：

const query = `SELECT password FROM USERS WHERE email=?;`;
const [rows] = await db.promise().query(query, [req.body.email]);

// 安全读取密码字段，无匹配记录时storedPassword为undefined
const storedPassword = rows[0]?.password;
if (!storedPassword) {
  return res.status(401).json({ message: "邮箱或密码错误" });
}
console.log(storedPassword);

• 别用try/catch兜这类空值错误。这是可预见的正常业务分支，靠异常捕获跑业务逻辑既难维护，又有额外的性能开销。
• 身份认证接口不要明确区分“邮箱不存在”“密码错误”两类返回提示，避免被攻击者暴力枚举有效账号。
• 存储用户密码必须用bcrypt、argon2这类慢哈希算法做加盐处理，绝对不能明文存储密码。

内容的提问来源于stack exchange，提问作者Ben Böckmann