如何使用MongoDB和JavaScript实现多查询参数下的数据检索

你可以先定义允许参与查询的字段白名单，避免用户传入非法参数查询敏感数据，之后遍历白名单字段，只要请求里传了对应参数就加入查询过滤器即可。

以下是修改后的完整代码，示例支持_id、username、age、city、status5个查询参数，你可以根据实际业务需求调整白名单字段：

console.log(req.query);
// 定义允许作为查询条件的字段白名单，可自行增删
const allowedQueryFields = ['_id', 'username', 'age', 'city', 'status'];
const filter = {};
// 遍历白名单，请求中存在的参数就加入查询条件
allowedQueryFields.forEach(field => {
  if (req.query[field] !== undefined) {
    // 数值类型字段要做类型转换，避免字符串匹配不到数值类型的数据库字段
    if (field === 'age') {
      filter[field] = Number(req.query[field]);
    } 
    // 如果需要用户名模糊查询，可开启下面的逻辑
    // else if (field === 'username') {
    //   filter[field] = { $regex: req.query[field], $options: 'i' };
    // }
    else {
      filter[field] = req.query[field];
    }
  }
});
users.findUsers(filter, '', 0)
    .then(user => {
        console.log(user)
        res.send(user);
    })
    .catch(error => {
        console.error(error);
        res.send({ error: 'Request failed' });
    });
});

注意事项 #

• 必须设置字段白名单，禁止直接把req.query整体作为查询条件传入，否则用户可以传入未授权的字段（如密码、权限标识）查询敏感数据
• 如果需要支持范围查询（比如年龄大于20、小于30），可以自行扩展参数解析逻辑，比如传入ageMin、ageMax参数，拼装成MongoDB的$gt、$lt条件即可

内容的提问来源于stack exchange，提问作者310ToPoona