如何在Express API中阻止客户端发送未定义的额外请求参数？

问题1：仅允许提交指定字段的最优实现方案 #

你提到的手动对比字段的思路是可行的，但express-validator本身提供了更统一的实现方式，不需要单独编写全局中间件，校验规则和报错格式可以和现有逻辑保持一致，推荐两种常用方案：

1. 基于schema配置的极简方案
   使用checkSchema定义校验规则时，开启strict配置即可自动禁止未定义的额外字段，示例代码如下：

const { checkSchema, validationResult } = require('express-validator');

// 定义校验规则
const userCreateValidator = checkSchema({
  firstName: {
    notEmpty: { errorMessage: 'firstName为必填项' },
    isString: { errorMessage: 'firstName必须为字符串' }
  },
  lastName: {
    notEmpty: { errorMessage: 'lastName为必填项' },
    isString: { errorMessage: 'lastName必须为字符串' }
  },
  email: {
    optional: true,
    isEmail: { errorMessage: 'email格式不正确' }
  }
}, { strict: true }); // 开启strict即可禁止额外字段

// 通用错误处理中间件
const validate = (req, res, next) => {
  const errors = validationResult(req);
  if (!errors.isEmpty()) {
    return res.status(400).json({ errors: errors.array() });
  }
  next();
}

// 路由使用
app.post('/users', userCreateValidator, validate, (req, res) => {
  // 业务逻辑
});

开启该配置后，传入未定义字段时会自动返回额外字段不允许的错误提示，也可以自定义错误信息。

2. 自定义校验规则方案
   如果不想用schema写法，也可以单独添加一条全局的自定义校验规则，和其他字段校验规则放在一起即可：

const { body, validationResult } = require('express-validator');

const userCreateValidator = [
  body('firstName').notEmpty().isString(),
  body('lastName').notEmpty().isString(),
  body('email').optional().isEmail(),
  // 额外字段校验规则
  body().custom((_, { req }) => {
    const allowedFields = ['firstName', 'lastName', 'email'];
    const extraFields = Object.keys(req.body).filter(key => !allowedFields.includes(key));
    if (extraFields.length) {
      throw new Error(`不允许的额外字段：${extraFields.join('、')}`);
    }
    return true;
  })
];

这种方式的灵活性更高，可以自定义错误提示内容，也支持根据不同接口配置不同的允许字段列表。

问题2：未使用的额外字段是否需要校验，以及未校验的隐患 #

即使当前业务逻辑不会处理额外字段，也非常建议开启这类校验，主要隐患有以下几点：

• 安全风险：后续代码迭代过程中，如果开发人员不小心使用Object.assign、展开运算符等方式把req.body全量赋值给数据库模型，会出现越权操作风险，比如用户提交接口被恶意传入isAdmin: true字段，就可能直接提升用户权限。
• 垃圾数据与攻击风险：禁止额外字段可以避免客户端无意或恶意传入大量无效字段占用带宽，也能降低被用于CC攻击、参数注入攻击的可能性。
• 接口契约更严谨：严格校验字段可以保证前后端交互完全符合接口文档约定，避免客户端传错字段却无法感知的问题，排查联调问题的效率会更高。
• 避免隐性逻辑问题：部分日志组件、序列化工具如果直接处理整个req.body，传入未预期的特殊字段可能触发日志注入、序列化异常等隐性问题。

内容的提问来源于stack exchange，提问作者nTuply