在哪里验证服务器端的用户输入？

Question

我了解在 Web 开发中，用户输入应在客户端和服务器端进行验证。

我很难弄清楚在服务器端验证输入的位置。
例如，在请求通过中间件并到达控制器之后。在控制器中，我有其他模块将接受输入并最终到达目的地然后响应。

是否应该在控制器中完全验证输入，以便在将输入放入其他模块时按预期进行？或者我应该检查接受输入的模块中的输入？或者我应该对控制器中的输入进行“浅层”检查（基本的原始类型检查等）并在模块本身中保留业务逻辑检查（值是​​正数吗？负数？等）？

示例代码：
控制器.js

  var mashUp = require('./mashupService');

  var create = function(req, res) {
  var user = req.body.user;
  var imageName = req.body.imageName;
  var description = req.body.description;

  //more validation here? 

  if (!user) {
    return ApiResponse(req, res, new Error('no user'));
  } else if (!imageName) {
    return ApiResponse(req, res, new Error('no image name'));
  } else if (!description) {
    return ApiResponse(req, res, new Error('no description'));
  }

  // continue with business
  mashUp(user, imageName, description, function(err, id) {
    if (err) {
      return ApiResponse(req, res, new Error('mashup error'));
    }
    return ApiResponse(req, res, { id: id });
  }); 
};

`其他模块、库等'

var User = require('./model/user');


function mashUp(user, imageName, desc, callback) {

  //more validation here?

  User.find({ user: user }, function(err, _user) {
    //do stuff


    callback(err, id) ;
  });
}

module.exports = mashUp

Answer 1

嗯，当您从不同的角度验证数据时会有所不同：

模型验证： 当您有一条规则需要应用于您的数据模型时，例如 required、min、max、match 等。如果在大多数情况下任何验证失败，这些规则将使用任何 orm 或 odm 构建成 int，这将冒泡到中间件你可以从那里处理。

如果您需要实现更复杂的逻辑，您可以选择设置自定义验证器。

这是一个月光示例：

var UserSchema = new Schema({
    firstName: {
        type: String,
        trim: true,
        default: '',
        validate: [customValidator, 'Please fill in your first name'] 
        // custom validator
    },
    lastName: {
        type: String,
        trim: true,
        default: '',
        validate: [customValidator, 'Please fill in your last name']
        // custom validator
    },
    displayName: {
        type: String,
        trim: true
    },
    email: {
        type: String,
        trim: true,
        unique: true,
        default: '',
        validate: [customValidator, 'Please fill in your email'], 
        // custom validator
        match: [/.+\@.+\..+/, 'Please fill a valid email address'] 
        //match validator
    },
    username: {
        type: String,
        unique: true,
        required: 'Please fill in a username', //required validator
        trim: true
    }
});

更多参考请查看mongoose 验证

业务规则

这更适用于您现在描述的场景，处理可能适用于系统中特定情况或用户历史的规则。

我不建议在控制器中管理验证，竖起大拇指的规则是创建胖模型和瘦控制器，你可以用谷歌搜索，但我随机选择了这个presentation 和这个article。

据说我更喜欢在控制器执行之前在中间件中进行这些验证。

让我们为下面的案例做一个案例

在编辑文章时，让我们验证 id 是否属于该用户 正在请求编辑

exports.validateArticle = function(req, res, next){
 var userId = req.param('userId'),
     articleId = req.param('articleId');

    // TODO: logic validation
}

然后你在控制器执行之前连接你的中间件，比如

app.route('/article').all( rule.validateArticle ).post(controller.editArticle);

这样你就不会用一堆验证来污染你的控制器，你也可以在一个控制器之间重复使用验证。

作为旁注，客户端验证是为了用户体验而进行的，但不依赖于它们作为您系统的适当验证器。

这里只有我的两分钱， 我希望这会有所帮助。

干杯！

Answer 2

这是关于数据验证的。 由于客户端数据通常不可靠，因此无需在客户端进行数据验证。必须在服务器上验证正确的数据。我建议您在控制器而不是其他模块中进行验证。让我们看看你的例子：

  var create = function(req, res) {
  var user = req.body.user;
  var imageName = req.body.imageName;
  var description = req.body.description;

  //more validation here? 

回答：是的。考虑用户是否存在或拥有 权限，描述至少有10个字符，包含非法字符等。

  if (!user) {
    return ApiResponse(req, res, new Error('no user'));
  } else if (!imageName) {
    return ApiResponse(req, res, new Error('no image name'));
  } else if (!description) {
    return ApiResponse(req, res, new Error('no description'));
  }
//Btw, here is kind of validation right? 
//but it looks like that you only want to check if user is posted, 
//then imageName and description will be ignored. 
//There may be some logic error here.

最后，我还建议您创建一个专门用于数据验证的模块。