为何MongoDB的ObjectId.isValid('surveillance')会返回true？

这真是个容易让人挠头的坑！我当初第一次碰到类似问题的时候也愣了好一会儿，来给你拆解清楚原因：

首先得明确，MongoDB的ObjectId本质是一个12字节的BSON数据类型，而Mongoose的isValidObjectId（或者原生MongoDB驱动的ObjectId.isValid）的“有效”判断规则，比我们直觉里的要宽松得多：

• 如果传入的字符串是24位长度，它会校验是否是全十六进制字符（0-9、a-f、A-F）
• 但如果传入的字符串刚好是12位长度，它会直接判定为有效——因为它默认可以把每个字符当作一个独立的字节，直接拼接成12字节的ObjectId，完全不检查字符内容是不是十六进制！

你数一下'surveillance'的字符数：s、u、r、v、e、i、l、l、a、n、c、e，正好12个字符，所以完美命中了这个宽松的判定规则，被当成了有效的ObjectId输入。

你原本的辅助方法逻辑是这样的：

import { Types, isValidObjectId } from 'mongoose';

if (typeof input === 'string' && isValidObjectId(input))
  return new Types.ObjectId(input);
return input;

结果就因为这个判定规则的漏洞，出现了逻辑错误对吧？

那怎么修复这个问题呢？如果你的需求是只把符合标准24位十六进制格式的字符串转换成ObjectId，那可以在判断里加上正则校验，修改你的辅助方法：

import { Types, isValidObjectId } from 'mongoose';

function convertToObjectIdIfValid(input) {
  if (typeof input === 'string') {
    // 严格校验是否为24位十六进制字符串
    const isStandardObjectIdString = /^[0-9a-fA-F]{24}$/.test(input);
    if (isValidObjectId(input) && isStandardObjectIdString) {
      return new Types.ObjectId(input);
    }
  }
  return input;
}

这样就能避免像'surveillance'这种12位非十六进制字符串被误转换的问题了。

本质上，isValidObjectId的判断逻辑是“能否被转换为12字节的数据”，而不是“是否是按照ObjectId标准算法生成的合法ID”，这就是为什么这种看起来完全不相关的字符串会被判定为有效。

备注：内容来源于stack exchange，提问作者Sinandro