使用Mongoose时查询语句应在前端还是后端构建？

核心结论：前端直接传递Mongo操作符不是最佳实践，存在严重安全风险 #

直接将前端传入的含$gt/$lte等操作符的结构喂给Mongoose查询，会引发NoSQL注入漏洞。攻击者可恶意构造查询条件绕过权限校验、拖取全表敏感数据，该方案严格不推荐。

正确实现方案 #

1. 前端传参规则 #

前端仅传递业务语义的普通参数，不要暴露任何MongoDB操作符，日期范围类查询可单独传起止日期参数：

// 前端请求体示例（优先使用ISO标准日期格式，避免格式歧义）
{
  startDate: "2021-01-01",
  endDate: "2021-01-31"
}

2. 后端处理逻辑 #

所有Mongoose查询的操作符、允许查询的字段完全由后端封装控制，处理流程如下：

1. 首先对前端传入的参数做合法性校验，包括格式校验、业务范围校验（如限制最多查询近3个月数据，避免全表扫描）
2. 后端自行组装符合Mongoose要求的查询对象
3. 执行查询前可额外加权限过滤条件，避免越权查询

参考代码示例：

// 后端Node.js + Mongoose 处理逻辑
async function getDateRangeRecords(req, res) {
  const { startDate, endDate } = req.body;
  
  // 参数合法性校验
  if (!startDate || !endDate) {
    return res.status(400).json({ error: "缺少必填的日期范围参数" });
  }
  const startTs = new Date(startDate).getTime();
  const endTs = new Date(endDate).getTime();
  if (isNaN(startTs) || isNaN(endTs) || startTs > endTs) {
    return res.status(400).json({ error: "日期范围非法" });
  }
  
  // 后端自行构造查询对象，操作符完全不暴露给前端
  const query = {
    // 可额外加权限控制条件，比如只查当前登录用户的数据
    userId: req.user.id,
    date: {
      $gt: new Date(startDate),
      $lte: new Date(endDate)
    }
  };
  
  const records = await RecordModel.find(query);
  return res.json(records);
}

多条件复杂查询扩展方案 #

如果需要支持更多维度的动态查询，可遵循同样的逻辑：

• 前端仅传递业务参数，比如status: "success", minAmount: 100, maxAmount: 1000
• 后端维护允许查询的字段白名单，不在白名单内的参数直接忽略
• 后端根据传入的有效参数，动态组装带$ne/$in等操作符的查询结构

内容的提问来源于stack exchange，提问作者Susccy