Express-Validator 项目中的自定义验证器和净化器详解

Express-Validator 项目中的自定义验证器和净化器详解

express-validator 项目地址: https://gitcode.com/gh_mirrors/exp/express-validator

前言

在 Web 开发中，数据验证和净化是保障应用安全性和数据完整性的重要环节。Express-Validator 作为 Express 框架的中间件，提供了强大的数据验证和净化功能。虽然它内置了大量实用的验证器和净化器，但在实际开发中，我们经常需要根据业务需求创建自定义的验证逻辑。本文将深入探讨如何在 Express-Validator 中实现自定义验证器和净化器。

自定义验证器

基本概念

自定义验证器通过 .custom() 方法实现，它接受一个验证函数作为参数。这个函数可以：

1. 返回一个 Promise 来实现异步验证
2. 抛出错误或拒绝 Promise 来表示验证失败
3. 返回 true 或解析 Promise 来表示验证成功

实际应用示例

检查邮箱是否已被使用

const { body } = require('express-validator');

app.post(
  '/user',
  body('email').custom(async (value) => {
    const user = await User.findUserByEmail(value);
    if (user) {
      throw new Error('E-mail already in use');
    }
  }),
  (req, res) => {
    // 处理请求
  }
);

技术要点：

• 使用 async/await 简化异步操作
• 直接抛出错误比返回 Promise.reject() 更直观
• 注意数据库操作可能带来的性能影响

密码确认匹配验证

const { body } = require('express-validator');

app.post(
  '/user',
  body('password').isLength({ min: 5 }),
  body('passwordConfirmation').custom((value, { req }) => {
    if (value !== req.body.password) {
      throw new Error('密码确认不匹配');
    }
    return true;
  }),
  (req, res) => {
    // 处理请求
  }
);

最佳实践：

• 通过上下文对象 { req } 访问请求中的其他字段
• 同步验证直接返回 true 表示成功
• 错误信息应当清晰明确

自定义净化器

基本概念

自定义净化器通过 .customSanitizer() 方法实现，目前必须使用同步函数。净化器的主要作用是对输入数据进行转换或清理，使其符合后续处理的格式要求。

实际应用示例

转换为 MongoDB 的 ObjectID

const { param } = require('express-validator');
const { ObjectId } = require('mongodb');

app.post(
  '/object/:id',
  param('id').customSanitizer(value => {
    try {
      return new ObjectId(value);
    } catch (err) {
      // 处理无效的 ObjectID 格式
      return null;
    }
  }),
  (req, res) => {
    // 处理请求
  }
);

技术要点：

• 添加错误处理以应对格式错误的输入
• 返回 null 或 undefined 可以表示净化失败
• 净化后的值会替换原始值

进阶技巧

1. 复用验证逻辑：将常用的自定义验证器/净化器提取为独立函数，便于复用和维护

// validators.js
exports.isValidEmail = value => {
  // 自定义邮箱验证逻辑
};

// routes.js
const { isValidEmail } = require('./validators');
body('email').custom(isValidEmail)

2. 组合验证：将自定义验证器与内置验证器组合使用

body('username')
  .trim()
  .isLength({ min: 3 })
  .custom(checkUsernameAvailability)

3. 上下文利用：验证器函数可以接收包含请求信息的上下文对象

.custom((value, { req, location, path }) => {
  // 可以访问请求对象、字段位置和路径
})

注意事项

1. 性能考量：避免在验证器中执行耗时的操作（如复杂数据库查询）
2. 错误处理：妥善处理自定义验证器中的异常，避免服务器崩溃
3. 安全性：净化器不应信任输入数据，始终进行严格的验证
4. 测试覆盖：为自定义验证逻辑编写全面的测试用例

总结

Express-Validator 的自定义验证器和净化器功能强大而灵活，能够满足各种复杂的业务验证需求。通过合理设计自定义验证逻辑，可以显著提高应用程序的健壮性和安全性。在实际开发中，建议将复杂的验证逻辑模块化，并注意性能优化和错误处理，以构建更加可靠的 Web 应用。

express-validator 项目地址: https://gitcode.com/gh_mirrors/exp/express-validator