防范参数为null、缺失或undefined的最安全处理方式是什么？

现有写法的问题 #

你当前的实现方式存在逻辑漏洞：|| 运算符会把所有JavaScript假值（包括0、""、false等可能的合法业务取值）统一替换为null。比如业务允许发送空内容消息、或者用户ID是数字类型的0时，正常请求也会被误判为参数非法直接拦截。

你提出的方案是否可行？ #

如果仅需要过滤null/undefined两种异常场景，调整默认赋值的运算符后可以使用：
把||替换为空值合并运算符??，它只会在左侧取值为null/undefined时才返回右侧的默认值，不会误伤其他合法假值：

const recipientUserId = data.recipientUserId ?? null;
const senderUserId = data.senderUserId ?? null;
const senderName = data.senderName ?? null;
const messageText = data.messageText ?? null;

调整后再通过!= null判断的逻辑就可以准确过滤参数缺失、null、undefined三种异常场景了。

更安全的处理方案 #

为了避免后续业务逻辑出错，还可以叠加以下优化：

• 增加类型校验：除了非空判断，额外校验参数的类型是否符合预期，比如用户ID应该为字符串/数字、消息内容应该为字符串，避免传入对象、数组等异常类型导致后续逻辑崩溃
• 批量校验减少冗余代码：必填字段较多时可以用数组批量校验，不用拼接长串的&&条件
• 异常时返回明确的错误提示：告诉调用方具体是哪个参数缺失/类型错误，方便联调排查

优化后的代码示例 #

exports.pushNotify = functions.https.onCall((data, _context) => {
    // 定义必填字段和对应的校验规则
    const requiredFields = [
        { key: 'recipientUserId', type: ['string', 'number'] },
        { key: 'senderUserId', type: ['string', 'number'] },
        { key: 'senderName', type: ['string'] },
        { key: 'messageText', type: ['string'] }
    ];

    // 批量校验
    const isValid = requiredFields.every(field => {
        const value = data[field.key];
        return value != null && field.type.includes(typeof value);
    });

    if (isValid) {
        // 业务逻辑
    } else {
        // 可以返回具体的错误字段信息
        throw new functions.https.HttpsError('invalid-argument', '缺少必填参数或参数类型错误');
    }
});

内容的提问来源于stack exchange，提问作者lurning too koad