什么时候应该使用Zod?

最新推荐文章于 2024-11-18 08:41:09 发布

清晰编程

最新推荐文章于 2024-11-18 08:41:09 发布

阅读量1.3k

点赞数 36

分类专栏：公众号文章标签：前端 typescript

本文链接：https://blog.csdn.net/wannianchuan/article/details/135812700

版权

公众号专栏收录该内容

199 篇文章 2 订阅

订阅专栏

本文探讨了在不同情境下如何利用Zod进行输入验证，包括不信任的公共API请求、部分信任的第三方服务以及完全可控的内部数据。作者强调了Zod在确保数据安全和易于调试中的重要性，同时也讨论了在特定情况下跳过验证的考虑因素，如性能和版本控制问题。

摘要由CSDN通过智能技术生成

作为一个工程师，你会构建一些东西。
你正在构建的东西可能会有输入——数据被注入的点。

假设你正在构建一个名为 mycli 的CLI:

mycli run <something>

这里，<something> 是输入。它告诉程序该做什么。它在运行时是完全未知的，它甚至可能不是存在的。

如果你正在构建一个面向公众的API，你的输入可能会暴露在web上的公共端口上:

GET https://somesite.com/api/user/:idPOST https://somesite.com/api/user/:id

我想到了几个可能的输入:

路径中的 :id 参数
您使用了哪个REST方法( GET 或 POST )
请求的标头
添加到请求中的搜索参数: ?hello=world
请求体(for POST )

所有这些在运行时都是未知的，因为如果这些API暴露给外界，任何人都可以ping通它们。如果它们没有得到验证，许多甚至可能成为攻击的载体。

当你不信任输入时

在这些情况下，你都不相信进入应用程序的数据。对于这些情况，你应该使用Zod。

对于脚本，您可以解析 process.argv :

import {z} from 'zod'
// Make a schema for the argumentsconst ArgSchema = z.tuple([z.any(), z.any(), z.string()])
// Use it to parse process.argvconst [, , name] = ArgSchema.parse(process.argv)
// Log it to the console safely!console.log(name)

process.argv通常包含两个无用的参数，然后是您想要提取的动态参数。对于更复杂的情况，您可能希望使用 commander — 但是对于简单的脚本，这非常有效。

这里使用Zod的好处是 name 被推断为 string ，而不需要任何其他工作。

对于公共API，您可以创建Zod模式来确保请求体和头是正确的。

import {z} from 'zod'import {Request, Response} from 'express'
const CreateUserSchema = z.object({  body: z.object({    // Ensures that the email exists, and is an email    email: z.string().email(),  }),  headers: z.object({    // Ensures that the authorization header is present    authorization: z.string(),  }),})
const handleCreateUser = (req: Request, res: Response) => {  // Parse the request  const result = CreateUserSchema.safeParse(req)
  // If something was missing, send back an error  if (!result.success) {    res.status(400).send(result.error)    return  }
  const {email} = result.data.body
  // Create the user}