Express中间件查询User模型时_id转ObjectId失败报CastError

仔细看报错打印的待转换值："629f6d03246e5c32643f4f06 "，字符串末尾多了一个多余的半角空格。Mongoose查询_id字段时会自动把传入的字符串转成MongoDB的ObjectId类型，ObjectId类型对传入值的格式要求非常严格，必须是24位纯十六进制字符，任何多余的非十六进制字符都会触发转换失败，末尾的空格直接触发了这次的CastError。

• 在User.findOne调用前加一行调试代码：console.log('userId原始值:', JSON.stringify(userId), '字符串长度:', userId.length)，运行后可以直接看到末尾的空格，以及长度为25（24位合法id+1位空格）的异常
• 回溯参数传递链路：重点检查密码重置链接的拼接逻辑、前端提交请求时的参数取值逻辑，看是不是拼接链接时多打了空格、或者从DOM节点取文本值时带上了节点间的空白字符
• 检查服务端请求解析配置：确认express的express.json()、express.urlencoded()等解析中间件配置正确，没有出现解析参数时自动拼接多余空白的问题

1. 服务端参数兜底校验（必加，避免同类报错击穿接口） #

拿到请求参数后先做清洗和合法性校验，再传入数据库查询，从接口层挡住非法参数：

const mongoose = require('mongoose');

// 对所有字符串类入参统一做首尾去空白处理
const newPassword = req.body.password?.trim();
const userId = req.body.userId?.trim();
const token = req.body.passwordToken?.trim();

// 提前校验userId是否为合法ObjectId，不合法直接返回参数错误，不要走到数据库查询逻辑
if (!mongoose.Types.ObjectId.isValid(userId)) {
  return res.status(400).send({ msg: '无效的用户标识' });
}

let resetUser;
// 用清洗后的参数执行查询
User.findOne({
    _id: userId,
    ResetToken: token,
    ResetTokenExpiration: {$gt: Date.now()}
})

2. 根因修复（从源头解决参数带空格的问题） #

• 如果是重置邮件的链接模板拼接时，在userId参数前后多打了空格，直接修改邮件模板的链接拼接逻辑，去掉多余空白
• 如果是前端从页面取值（比如从隐藏input、DOM的data属性取userId）时带了格式空白，在前端提交请求前就对参数做trim处理
• 如果是参数中转存储环节（比如把userId存在redis、临时缓存时）拼接了多余字符，修正存储、读取逻辑，保证全链路传递的参数格式正确

内容的提问来源于stack exchange，提问作者yonatan Cohen