Node.js Express中如何验证请求体？不使用第三方库可以实现吗？

1. express-validator这类请求验证方案是否可行？ #

完全可行。express-validator是目前Express生态中经过大量生产环境验证的成熟请求验证中间件，完全适配Express的中间件运行机制，可以无缝插入到你现有的路由逻辑中，不会和你已经用到的passport认证逻辑冲突。
你可以按照如下方式改造你的现有代码：

// 引入express-validator的规则定义和结果校验方法
const { body, validationResult } = require('express-validator');

router.post('/dashboard', 
  passport.authenticate('jwt', { session: false }),
  // 按业务需求定义请求参数验证规则
  body('category').notEmpty().withMessage('分类不能为空').isString().withMessage('分类必须为字符串格式'),
  body('title').notEmpty().withMessage('标题不能为空').isLength({max: 100}).withMessage('标题长度不能超过100字符'),
  body('text').notEmpty().withMessage('内容不能为空'),
  body('date').isISO8601().withMessage('日期格式不符合规范'),
  // 统一校验验证结果
  (req, res, next) => {
    const errors = validationResult(req);
    if (!errors.isEmpty()) {
      return res.status(400).json({ 
        success: false, 
        msg: '请求参数错误', 
        errors: errors.array() 
      });
    }
    next();
  },
  // 原有业务逻辑
  (req, res) => {
    try {
        let newPost = new Post({
            category: req.body.category,
            title: req.body.title,
            photo: req.body.photo,
            text: req.body.text,
            author: req.body.author,
            date: req.body.date
        });

        Post.addPost(newPost, (err, user) => {
            if (err) {
                res.json({success: false, msg: `Post has not been added. ${err}`})
            } else {
                res.json({success: true, msg: 'Post was added.'})
            }
        })
    } catch (err) {
        // 原代码中的错误函数定义未调用，此处直接处理错误即可
        res.status(500).json({
            success: false,
            message: err.message ? err.message : err
        })
        console.log('error routes/auth POST', err)
    }
})

2. Express、Node.js有没有原生内置的请求验证方法？ #

没有。

• Node.js核心库仅提供HTTP协议解析、文件IO、操作系统交互等底层基础能力，不包含业务层面的参数校验逻辑
• Express作为轻量级Web框架，核心设计仅保留路由、中间件调度等基础Web服务能力，也没有内置请求验证模块，所有扩展能力都通过中间件实现

3. 使用express-validator这类第三方库是不是更优选择？ #

对于绝大多数业务场景，使用成熟的第三方验证库是更优选择，核心优势包括：

• 内置数十种常用验证规则，包括空值校验、格式校验、长度校验、类型校验等，不需要自己重复手写判断逻辑
• 适配Express中间件机制，接入成本极低，可以和现有认证、权限中间件无缝配合
• 提供统一的错误收集、格式化能力，不需要自己拼装验证错误返回值
• 支持自定义验证规则，可以灵活适配特殊的业务校验需求
• 生态成熟、维护稳定，生产环境使用风险低

如果你的业务场景非常简单，也可以自己手写验证中间件，但是开发效率、可维护性都远低于使用成熟的第三方验证库。 #

内容的提问来源于stack exchange，提问作者Tatyana Molchanova