在Node.js Express中是否需从安全角度检查URL路由参数是否存在？

问题描述 #

我有一个Express的REST端点，代码如下：

router.get('/groups/leave/:hash', (req, res) => {
  if (!req.params.hash) {
    return res.send({ res: false, code: responseCode.PARAMS_MISS })
  }
  console.log(req.params.hash)
})

当用户访问localhost:8080/groups/leave/somecode时可正常访问，但访问localhost:8080/groups/leave/时会出现404页面不存在的情况。我的疑问是：从安全角度（防止hash未定义）出发，是否有必要检查该参数是否不为undefined？

回答 #

首先得明确Express路由的匹配逻辑：你的路由/groups/leave/:hash中，:hash是一个必需的URL路径参数，只有当请求URL在/groups/leave/后带有非空的路径片段时，才会匹配到这个路由并进入你的处理函数。而访问localhost:8080/groups/leave/时，请求根本不会匹配到这个路由，所以你的参数检查代码根本不会被执行，直接返回404是Express路由系统的默认行为。

但从安全和健壮性的角度来看，保留这个检查仍然是有必要的，原因如下：

• 处理边缘输入情况：虽然正常访问/groups/leave/不会触发你的处理函数，但如果有人构造类似/groups/leave//（双斜杠）的请求，Express会将空字符串解析为req.params.hash的值。这时候你的检查!req.params.hash会触发，返回参数缺失的错误，避免后续逻辑处理无效的空值——比如如果后续用这个空hash去查询数据库，可能导致意外的查询结果，甚至引发逻辑漏洞。
• 防御性编程的实践：即使当前路由系统的逻辑能过滤掉无参数的请求，但未来如果修改路由配置、添加中间件或者调整路由顺序，可能导致无参数的请求意外进入这个处理函数。提前保留参数检查，可以作为一层兜底的安全防御，防止因配置变更引入的潜在问题。
• 规范API错误返回：明确返回PARAMS_MISS的错误信息，比让后续逻辑因未定义的hash崩溃（返回500错误）更友好，也符合RESTful API的错误规范。这能让客户端清晰知道问题所在，避免模糊错误导致的异常行为，间接提升了系统的安全性。

总结来说，虽然当前无参数的请求会被路由系统拦截，但保留参数检查是一种值得推荐的防御性编程做法，能覆盖边缘场景，避免潜在的安全风险和逻辑错误。

内容的提问来源于stack exchange，提问作者chosirai