Menu
CoddyTech
Начать обучение

Проверка перед сохранением

Часть раздела Базы данных с MongoDB путешествия по Node.js на Coddy. Урок 28 из 29.

MongoDB сохраняет любой переданный ему объект. Если req.body напрямую передать в insertOne, клиент сможет сохранить год со значением "soon" или добавить поля вроде "admin": true.

Перед вставкой проверяй данные с помощью zod и вставляй результат zod, а не req.body. Схема z.object удаляет все ключи, которые в ней не перечислены, поэтому в разобранных данных остаются только разрешённые тобой поля.

const Player = z.object({
    name: z.string().min(1),
    level: z.number().int().min(1),
});

const parsed = Player.safeParse({ name: 'Ada', level: 2, admin: true });
parsed.data; // { name: 'Ada', level: 2 }

У коллекции нет фиксированной структуры, поэтому именно схема в твоём коде обеспечивает одинаковую структуру её документов.

challenge icon

Задание

Легко

Сейчас клиент может сохранить год как "soon" или подсунуть поле вроде "admin": true. Проверяй каждую новую книгу с помощью zod, прежде чем она попадёт в базу данных.

  1. В server.js импортируй z из 'zod'. Напиши схему для новой книги: title, author, isbn и genre должны быть непустыми строками, а year — целым числом. Все пять полей обязательны.
  2. В POST /books проверь req.body с помощью safeParse схемы до вставки. Если проверка не пройдена, верни ошибку со статусом 400 с помощью sendError и ничего не сохраняй. Проверка не пройдёт, если поле отсутствует, строка пуста или год не является целым числом, например "soon" или 1965.5. Текст сообщения выбирай сам, например { "error": "year: Invalid input: expected number, received string" }.
  3. Дополнительные поля не являются ошибкой. Запрос всё равно выполняется успешно, но дополнительные поля отбрасываются: вставляй данные, которые возвращает safeParse, а не req.body. Обычный z.object отбрасывает все ключи, которых в нём нет. Не добавляй здесь .strict(), иначе запрос будет отклонён со статусом 400.
  4. Для корректной книги по-прежнему возвращается статус 201 и сохранённая книга. Повторный ISBN по-прежнему приводит к статусу 409. Попробуй: Отправь POST /books с { "title": "Beloved", "author": "Toni Morrison", "year": "soon", "isbn": "9781400033416", "genre": "literary" }: получишь статус 400. Отправь запрос ещё раз с "year": 1987 и дополнительным полем "admin": true: получишь статус 201, а в книге из ответа не будет поля admin. На вкладке Data будет показана Beloved без admin. Отправь книгу без title: получишь статус 400.

Попробуйте сами

import express from 'express';
import { ObjectId } from 'mongodb';
import { books, ratings } from './db.js';

const app = express();
app.use(express.json());

// При каждой ошибке возвращается { error: message }.
function sendError(res, status, message) {
    res.status(status).json({ error: message });
}

// Возвращает :id как ObjectId или null после ответа с кодом 400 при некорректном id.
function parseId(req, res) {
    if (ObjectId.isValid(req.params.id)) {
        return new ObjectId(req.params.id);
    }
    sendError(res, 400, 'Not a valid id');
    return null;
}

app.get('/', (req, res) => {
    res.send('Bookshelf API');
});

app.get('/books', async (req, res) => {
    const filter = {};
    if (req.query.author) {
        filter.author = req.query.author;
    }
    if (req.query.from || req.query.to) {
        filter.year = {};
        if (req.query.from) {
            filter.year.$gte = Number(req.query.from);
        }
        if (req.query.to) {
            filter.year.$lte = Number(req.query.to);
        }
    }
    const page = Number(req.query.page) || 1;
    const limit = Number(req.query.limit) || 10;
    const items = await books
        .find(filter)
        .skip((page - 1) * limit)
        .limit(limit)
        .toArray();
    const total = await books.countDocuments(filter);
    res.json({ items, total });
});

app.post('/books', async (req, res) => {
    const book = req.body;
    try {
        await books.insertOne(book);
    } catch (err) {
        if (err.code === 11000) {
            return sendError(res, 409, 'That ISBN is already on the shelf');
        }
        throw err;
    }
    res.status(201).json(book);
});

app.get('/books/newest', async (req, res) => {
    const n = Number(req.query.n) || 3;
    const list = await books
        .find({}, { projection: { title: 1, year: 1, _id: 0 } })
        .sort({ year: -1 })
        .limit(n)
        .toArray();
    res.json(list);
});

app.get('/books/:id', async (req, res) => {
    const id = parseId(req, res);
    if (!id) return;
    const book = await books.findOne({ _id: id });
    if (!book) {
        return sendError(res, 404, 'No such book');
    }
    res.json(book);
});

app.patch('/books/:id', async (req, res) => {
    const id = parseId(req, res);
    if (!id) return;
    const result = await books.updateOne({ _id: id }, { $set: req.body });
    if (result.matchedCount === 0) {
        return sendError(res, 404, 'No such book');
    }
    res.json(await books.findOne({ _id: id }));
});

app.post('/books/:id/copies', async (req, res) => {
    const id = parseId(req, res);
    if (!id) return;
    const result = await books.updateOne({ _id: id }, { $inc: { copies: 1 } });
    if (result.matchedCount === 0) {
        return sendError(res, 404, 'No such book');
    }
    res.json(await books.findOne({ _id: id }));
});

app.post('/books/:id/tags', async (req, res) => {
    const id = parseId(req, res);
    if (!id) return;
    const result = await books.updateOne({ _id: id }, { $push: { tags: req.body.tag } });
    if (result.matchedCount === 0) {
        return sendError(res, 404, 'No such book');
    }
    res.json(await books.findOne({ _id: id }));
});

app.delete('/books/:id', async (req, res) => {
    const id = parseId(req, res);
    if (!id) return;
    const result = await books.deleteOne({ _id: id });
    if (result.deletedCount === 0) {
        return sendError(res, 404, 'No such book');
    }
    res.status(204).end();
});

app.put('/books/:id/ratings', async (req, res) => {
    const id = parseId(req, res);
    if (!id) return;
    const { user, stars } = req.body;
    await ratings.updateOne({ bookId: id, user }, { $set: { stars } }, { upsert: true });
    res.json({ user, stars });
});

app.get('/books/:id/ratings', async (req, res) => {
    const id = parseId(req, res);
    if (!id) return;
    res.json(await ratings.find({ bookId: id }).toArray());
});

app.get('/stats', async (req, res) => {
    const filter = req.query.genre ? { genre: req.query.genre } : {};
    res.json({
        books: await books.countDocuments(filter),
        ratings: await ratings.countDocuments(),
    });
});

app.get('/stats/genres', async (req, res) => {
    const genres = await books
        .aggregate([{ $group: { _id: '$genre', count: { $sum: 1 } } }])
        .toArray();
    res.json(genres);
});

app.get('/stats/top', async (req, res) => {
    const top = await ratings
        .aggregate([
            { $group: { _id: '$bookId', avg: { $avg: '$stars' }, count: { $sum: 1 } } },
            { $match: { count: { $gte: 2 } } },
            { $sort: { avg: -1 } },
            { $limit: 3 },
        ])
        .toArray();
    res.json(top);
});

app.get('/books/:id/full', async (req, res) => {
    const id = parseId(req, res);
    if (!id) return;
    const [book] = await books
        .aggregate([
            { $match: { _id: id } },
            {
                $lookup: {
                    from: 'authors',
                    localField: 'author',
                    foreignField: 'name',
                    as: 'authorInfo',
                },
            },
        ])
        .toArray();
    if (!book) {
        return sendError(res, 404, 'No such book');
    }
    res.json(book);
});

app.listen(3000, () => {
    console.log('Bookshelf is running on port 3000');
});

Все уроки раздела Базы данных с MongoDB

1Документы

Книга как документКоллекции и базы данныхПодключение к MongoDBЧтение сохранённых документовВставка документовПоиск одного документаПоиск по ObjectIdСравнение чиселФильтры запросовВыбор возвращаемых полейСортировка результатов запросаОставить первые результатыПроекция, сортировка и лимит

4Структура

Модуль базы данныхПагинация в базе данныхУрок-проектПроверка перед сохранениемУрок-проектВстраивание или ссылкиУрок-проект

2Изменение документов

Обновление документовОператоры обновленияУрок-проектУдаление документовУрок-проектУникальные индексыУрок-проектОперации upsertУрок-проект

3Агрегация

Подсчёт документовПоследовательность этаповГруппировка с помощью $groupСредние значения в группахФильтрация результатов группировкиКонвейеры агрегацииОбъединение с помощью $lookup

Потренируйтесь самостоятельно: Песочница Express