基于用户输入在Mongoose中构建渐进式查询的技术问询

嘿，我刚好做过类似的MongoDB封装REST API，分享下我是怎么用Mongoose实现这些查询参数的渐进式构建的——完全贴合你提到的_filter、_sort这些参数需求：

核心思路是利用Mongoose的Query对象可链式调用的特性，根据传入的查询参数一步步拼接查询逻辑，不用写冗余的嵌套判断（你提到的安全防护是前提，这里就聚焦查询构建本身）。

1. 解析_filter参数 #

处理带</>前缀的数值比较，以及普通的键值匹配：

function parseFilter(filterStr) {
  if (!filterStr) return {};
  return filterStr.split(',').reduce((filterObj, condition) => {
    const [keyPart, value] = condition.split(':');
    let field = keyPart;
    let operator = '$eq';

    // 处理大于/小于前缀
    if (keyPart.startsWith('<')) {
      field = keyPart.slice(1);
      operator = '$lt';
    } else if (keyPart.startsWith('>')) {
      field = keyPart.slice(1);
      operator = '$gt';
    }

    // 自动转换数值/布尔值，避免字符串匹配
    let parsedValue = value;
    if (!isNaN(value)) parsedValue = Number(value);
    else if (value.toLowerCase() === 'true') parsedValue = true;
    else if (value.toLowerCase() === 'false') parsedValue = false;
    
    filterObj[field] = { [operator]: parsedValue };
    return filterObj;
  }, {});
}

2. 解析_sort参数 #

将asc/desc转换为Mongoose需要的排序权重（1/-1）：

function parseSort(sortStr) {
  if (!sortStr) return {};
  return sortStr.split(',').reduce((sortObj, sortField) => {
    const [field, order] = sortField.split(':');
    sortObj[field] = order.toLowerCase() === 'desc' ? -1 : 1;
    return sortObj;
  }, {});
}

3. 解析_fields参数 #

直接转换为Mongooseselect方法支持的空格分隔字符串：

function parseFields(fieldsStr) {
  return fieldsStr ? fieldsStr.split(',').join(' ') : '';
}

4. 渐进式拼接并执行查询 #

这是最核心的部分——根据存在的参数逐步扩展Query对象：

async function fetchDocuments(model, queryParams) {
  const { _filter, _sort, _fields, _skip, _limit } = queryParams;
  
  // 初始化基础查询
  let query = model.find(parseFilter(_filter));
  
  // 按需添加排序规则
  if (_sort) query = query.sort(parseSort(_sort));
  
  // 按需选择返回字段
  if (_fields) query = query.select(parseFields(_fields));
  
  // 按需添加分页参数
  if (_skip) query = query.skip(Number(_skip));
  if (_limit) query = query.limit(Number(_limit));
  
  // 执行最终查询
  return await query.exec();
}

额外注意点 #

• 安全校验：一定要维护一个允许查询/排序的字段白名单，在解析每个参数时校验，防止敏感数据泄露或恶意查询
• 参数校验：比如_skip和_limit必须是正整数，要做类型校验和范围限制，避免传入非法值导致错误
• 扩展能力：如果需要支持$in、模糊匹配等复杂查询，可以在parseFilter里增加对应前缀的判断逻辑（比如用~表示模糊查询）

内容的提问来源于stack exchange，提问作者coding_hero