express-validator 数据校验详解

`express-validator` 是一个用于在 Express 应用中进行数据验证和清理的中间件。

一、安装

# 使用 npm 安装

npm install express-validator

二、基本使用

1. 引入和初始化

const express = require("express");

const { body, validationResult } = require("express-validator");

const app = express();

app.use(express.json());

// 定义一个验证中间件数组

const validateUser = [

  body("name").notEmpty().withMessage("Name is required"),

  body("email").isEmail().withMessage("Invalid email address"),

  body("age").isInt({ min: 18 }).withMessage("Age must be at least 18"),

];

// 处理 POST 请求的路由

app.post("/users", ...validateUser, (req, res) => {

  // 检查验证结果

  const errors = validationResult(req);

  if (!errors.isEmpty()) {

    return res.status(400).json({ errors: errors.array() });

  }

  // 若验证通过，处理数据

  const { name, email, age } = req.body;

  res

    .status(201)

    .json({ message: "User created successfully", user: { name, email, age } });

});

const port = 3000;

app.listen(port, () => {

  console.log(`Server running on port ${port}`);

});

三、常用验证规则

1. 字符串验证

body("name").notEmpty().withMessage("Name is required");

body("password")

  .isLength({ min: 6 })

  .withMessage("Password must be at least 6 characters");

body("phone").isMobilePhone().withMessage("Invalid phone number");

2. 数字验证

body("age")

  .isInt({ min: 18, max: 100 })

  .withMessage("Age must be between 18 and 100");

body("price")

  .isFloat({ min: 0 })

  .withMessage("Price must be a non-negative number");

3. 邮箱和 URL 验证

body("email").isEmail().withMessage("Invalid email address");

body("website").isURL().withMessage("Invalid URL");

4. 自定义验证

body("username").custom((value) => {

  // 假设这里检查用户名是否已存在

  // 实际应用中需要查询数据库

  const existingUsernames = ["admin", "guest"];

  if (existingUsernames.includes(value)) {

    throw new Error("Username already exists");

  }

  return true;

});

使用 `custom` 方法定义自定义的验证规则。

四、错误处理

验证结果可以通过 `validationResult(req)` 获取，它返回一个 `ValidationResult` 对象。可以使用该对象的方法来处理验证错误。

1. `isEmpty()`

用于检查是否存在验证错误，若没有错误返回 `true`，否则返回 `false`。

2. `array()`

返回一个包含所有验证错误信息的数组，每个错误对象包含 `location`（错误发生的位置，如 `body`）、`msg`（错误消息）、`param`（出错的字段名）等属性。

3. `formatWith()`

可以自定义错误信息的格式。

const errors = validationResult(req).formatWith(({ msg }) => msg);

if (!errors.isEmpty()) {

  return res.status(400).json({ errors: errors.array() });

}

五、链式调用和清理

`express-validator` 支持链式调用，可以在验证规则后添加清理规则。`trim()` 用于去除字符串两端的空格，`escape()` 用于对特殊字符进行转义，防止 XSS 攻击。

body("name").trim().escape().notEmpty().withMessage("Name is required");