如何通过Express暴露路由实现MongoDB任意查询？Mongo v3.6是否可行？

哥们，先直接给你结论：你想用express-http-proxy代理MongoDB HTTP接口的方案彻底行不通——MongoDB 3.6确实把内置的HTTP接口和REST API给砍掉了，这俩功能之前就被标为废弃，3.6直接移除，所以代理根本没东西可指向。

不过别慌，我们可以换个思路：直接用MongoDB的Node.js驱动在Express里封装一层路由，让客户端通过/mongo接口发送查询指令，后端帮你执行对应的Mongo操作。下面是具体的实现方案：

1. 先装依赖 #

确保你的项目里安装了Express和MongoDB官方驱动：

npm install express mongodb

2. 连接MongoDB并实现核心路由 #

在你的Express应用里，先建立MongoDB连接，然后创建/mongo路由，接收客户端传来的操作类型、集合名、查询条件等参数，再调用驱动对应的方法执行操作。

示例代码如下：

const express = require('express');
const { MongoClient } = require('mongodb');
const app = express();
app.use(express.json());

// 替换成你的MongoDB连接字符串和数据库名
const mongoUri = 'mongodb://localhost:27017/your-target-db';
let dbInstance;

// 初始化MongoDB连接
MongoClient.connect(mongoUri)
  .then(client => {
    dbInstance = client.db();
    console.log('Successfully connected to MongoDB');
  })
  .catch(err => console.error('Failed to connect to MongoDB:', err));

// 核心的/mongo路由，支持多种Mongo操作
app.post('/mongo', async (req, res) => {
  try {
    // 从请求体里获取操作参数
    const { operation, collection, query, options } = req.body;

    // 校验必填参数
    if (!operation || !collection) {
      return res.status(400).json({ error: 'Missing required fields: "operation" and "collection"' });
    }

    const targetCollection = dbInstance.collection(collection);
    let operationResult;

    // 根据操作类型执行对应的MongoDB方法
    switch(operation) {
      case 'find':
        operationResult = await targetCollection.find(query || {}, options || {}).toArray();
        break;
      case 'insertOne':
        operationResult = await targetCollection.insertOne(query || {});
        break;
      case 'updateOne':
        operationResult = await targetCollection.updateOne(query.filter || {}, query.update || {}, options || {});
        break;
      case 'deleteOne':
        operationResult = await targetCollection.deleteOne(query || {});
        break;
      // 可以按需扩展更多操作，比如findOne、insertMany、aggregate等
      default:
        return res.status(400).json({ error: `Unsupported operation type: ${operation}` });
    }

    res.json(operationResult);
  } catch (err) {
    res.status(500).json({ error: err.message });
  }
});

// 启动服务
app.listen(3000, () => console.log('Express server is running on port 3000'));

3. 客户端怎么调用？ #

客户端可以通过POST请求发送JSON格式的参数来执行操作，比如查询users集合里年龄大于18的用户：

// 客户端Node.js示例（用node-fetch）
const fetch = require('node-fetch');

async function executeMongoQuery() {
  const response = await fetch('http://localhost:3000/mongo', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({
      operation: 'find',
      collection: 'users',
      query: { age: { $gt: 18 } },
      options: { projection: { name: 1, age: 1, _id: 0 } }
    })
  });
  const data = await response.json();
  console.log('Query result:', data);
}

executeMongoQuery();

必须提的安全警告！ #

允许客户端执行任意MongoDB查询是极度危险的操作，分分钟给你捅娄子：

• 恶意用户可能执行删除、篡改数据的操作，直接搞崩你的数据库
• 复杂查询会耗尽服务器资源，导致服务瘫痪
• 敏感数据可能被泄露

所以一定要做这些防护：

• 严格限制允许的操作类型，比如只开放find查询，禁止所有写操作
• 添加身份验证（比如JWT），确保只有可信客户端能访问这个路由
• 对查询参数做校验和过滤，防止注入攻击
• 给MongoDB的操作账号设置最小权限，比如只读权限

另一个替代思路：用MongoDB Atlas Data API #

如果你不想自己封装，也可以考虑用MongoDB Atlas的Data API——它提供了REST接口来操作MongoDB，你可以在Express路由里转发请求到这个API。不过这个方案要求你的MongoDB部署在Atlas上，相当于用官方的REST API替代了你原本想依赖的内置接口。

内容的提问来源于stack exchange，提问作者Joachim