使用encodeURIComponent编码的MongoDB查询在Mongoose中不生效如何解决

• 核心问题：req.query.q 是字符串类型，并非Mongoose find 方法要求的JavaScript对象类型。控制台输出的内容只是字符串的文本和对象字面量格式一致，本质还是字符串，直接传入查询方法无法被识别。
• 衍生问题：前端编码前的查询条件不符合标准JSON规范：键名未用双引号包裹、字符串值使用单引号，后端直接用JSON.parse解析会报错。

前端调整编码逻辑 #

先将查询对象转为标准JSON字符串再做URI编码，确保后端可正常解析：

// 先定义合法的查询对象
const queryObj = { name: { $regex: 'da', $options: 'i' } };
// 转标准JSON后再编码
const encodedQuery = encodeURIComponent(JSON.stringify(queryObj));
// 拼接请求路径：/api/nft/search?q=${encodedQuery}

后端调整查询逻辑 #

拿到参数后先解析为JavaScript对象再传入查询方法，同时添加解析异常捕获：

exports.searchNftByName = (req, res) => {
  try {
    // 字符串参数解析为查询对象
    const queryCondition = JSON.parse(req.query.q);
    Nft.find(queryCondition).exec((err, nft) => {
      if (err || !nft || nft.length === 0) {
        return res.status(400).json({
          status: 'fail',
          message: 'NFT not found!',
        });
      }
      return res.status(200).json({
        status: 'success',
        message: 'We found something',
        nft,
      });
    });
  } catch (parseErr) {
    // 捕获非法参数的解析错误
    return res.status(400).json({
      status: 'fail',
      message: 'Invalid query parameter',
    });
  }
};

直接透传用户可控的查询条件到数据库查询存在NoSQL注入风险，建议后端对解析后的查询条件做校验，仅允许业务允许的字段、操作符参与查询，避免恶意用户构造非法查询获取敏感数据。

内容的提问来源于stack exchange，提问作者Singh