Express-Validator 项目中的 Sanitization Chain API 详解

Express-Validator 项目中的 Sanitization Chain API 详解

express-validator 项目地址: https://gitcode.com/gh_mirrors/exp/express-validator

什么是 Sanitization Chain

在 Express-Validator 项目中，Sanitization Chain（净化链）是一个中间件，专门用于处理和净化传入的请求数据。它类似于一个处理流水线，可以对请求中的字段值进行一系列净化操作，确保数据的安全性和一致性。

基本用法

Sanitization Chain 应该被传递给 Express 的路由处理器。你可以在一个链中添加任意数量的净化器，中间件运行时，它会按照指定的顺序依次应用这些净化器：

app.get('/', sanitizeBody('trimMe').trim(), (req, res, next) => {
  // 如果 req.body.trimMe 原始值是 "  something "
  // 净化后的值将是 "something"
  console.log(req.body.trimMe);
});

标准净化器

Express-Validator 提供了 validator.js 中列出的所有净化器方法，这些被称为"标准净化器"。包括但不限于：

• trim()：去除字符串两端的空白字符
• toInt()：将字符串转换为整数
• normalizeEmail()：标准化电子邮件地址
• escape()：转义 HTML 特殊字符

这些方法可以直接在净化链中使用，为开发者提供了丰富的数据处理能力。

高级功能

除了标准净化器外，Sanitization Chain 还提供了一些额外的方法来增强其功能：

自定义净化器

.customSanitizer() 方法允许你创建自己的净化逻辑：

app.get('/object/:id', sanitizeParam('id').customSanitizer((value, { req }) => {
  return req.query.type === 'user' ? ObjectId(value) : Number(value);
}), objectHandler)

这个方法接收一个净化函数，该函数必须同步返回新值。你可以根据请求上下文来决定如何净化数据。

手动执行净化链

.run() 方法让你可以手动执行净化链，这在异步场景中特别有用：

app.post('/create-post', async (req, res, next) => {
  await sanitize('content').escape().trim().run(req);
  // 净化后的内容
});

转换为数组

.toArray() 方法将值转换为数组，对于处理可能为数组或单个值的字段非常有用：

app.post('/', [body('checkboxes').toArray()], (req, res, next) => {
  // 处理后的数组
});

实际应用建议

1. 数据安全：在处理用户输入时，始终使用 escape() 方法来防止 XSS 攻击
2. 数据一致性：使用 trim() 和 normalizeEmail() 等方法确保数据格式统一
3. 类型转换：在处理数字或日期时，使用 toInt() 或 toDate() 等方法确保类型正确
4. 复杂逻辑：对于特殊需求，使用 customSanitizer() 实现自定义净化逻辑

Sanitization Chain 是 Express-Validator 项目中强大的数据净化工具，合理使用可以大大提高应用的安全性和稳定性。通过链式调用多个净化方法，你可以轻松构建复杂的数据处理流程，确保进入你系统的数据都是干净、安全的。

express-validator 项目地址: https://gitcode.com/gh_mirrors/exp/express-validator