如何向Mongoose的db.collection.find()传入动态MongoDB查询

核心问题原因 #

你遇到的EJSON.SerializableType和Filter<Document>类型不兼容只是TypeScript类型系统层面的限制，EJSON解析后得到的带原生BSON类型（ObjectId、Int32等）的对象，本身结构完全符合MongoDB查询的要求。你后续做JSON序列化再JSON.parse的操作反而会丢失BSON类型信息，将ObjectId转为普通字符串、Int32转为普通JS数字，导致数据库匹配不到对应文档，查询无结果。

可行实现方案 #

直接对EJSON的解析结果做类型断言即可，不需要额外转换处理，代码示例如下：

import { EJSON, Document, Filter } from 'bson';
import { MongoClient } from 'mongodb';

async function handleQueryRequest(req: any) {
  const { collectionName, query: queryStr } = req.body;

  // 第一步：做集合白名单校验，防止非法访问系统内部集合
  const ALLOWED_COLLECTIONS = ['abilities', 'users', 'goods'];
  if (!ALLOWED_COLLECTIONS.includes(collectionName)) {
    throw new Error('无权限访问该集合');
  }

  // 第二步：EJSON解析后直接做类型断言即可正常使用
  const query = EJSON.parse(queryStr) as Filter<Document>;

  // 可选：注入权限过滤条件，避免用户越权查询，例如仅允许查询当前用户的文档
  // query.createUserId = currentLoginUserId;

  // 第三步：执行查询，建议加limit限制避免返回过多数据
  const result = await db.collection(collectionName).find(query).limit(200).toArray();
  return result;
}

安全注意事项 #

允许客户端传入任意MongoDB查询存在极高的安全风险，上线前必须做好防护措施：

• 严格限制可访问的集合范围，禁止访问用户、权限等敏感集合以及系统内置集合
• 强制注入权限过滤条件，避免用户构造查询获取不属于自己的敏感数据
• 增加查询超时时间、返回条数上限，避免恶意构造的全表扫描类慢查询拖垮数据库服务
• 对返回结果做字段过滤，隐藏密码、密钥等敏感字段

内容的提问来源于stack exchange，提问作者K. Zoe