如何解决Mongoose调用find方法传入空字符串搜索时返回全部数据的问题

问题原因 #

当req.body.title传入空字符串时，生成的正则表达式new RegExp("", "i")可以匹配任意字符串，所以会直接返回全部视频数据，不符合预期。

解决方案 #

在执行数据库查询前先对入参做非空校验，检测到title为空时直接返回错误响应，修改后代码如下：

exports.findbytitle = (req, res) => {
  // 新增入参非空校验，去除首尾空白后判断是否为空
  // 如果Node.js版本低于14不支持可选链和空值合并，可替换为 const searchTitle = (req.body.title || '').trim()
  const searchTitle = req.body.title?.trim() ?? '';
  if (!searchTitle) {
    return res.send({ success: false, err: '搜索关键词不能为空' });
  }
  const userPattern = new RegExp(searchTitle, "i");
  Videos.find({ title: userPattern })
    .then((video) => {
      res.send({ success: true, video });
    })
    .catch((err) => {
      res.send({ success: false, err });
    });
};

可选优化建议 #

• 可以限制搜索关键词的最小长度（比如至少2个字符），避免过短的关键词返回过多无关数据
• 对用户输入的特殊正则字符做转义，避免用户输入.*这类特殊字符时出现非预期的查询结果，或是触发正则拒绝服务攻击，转义参考代码如下：

// 正则特殊字符转义函数
function escapeRegExp(string) {
  return string.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
}
// 生成正则时调用转义
const userPattern = new RegExp(escapeRegExp(searchTitle), "i");

内容的提问来源于stack exchange，提问作者chaitu605