Express的req.query与数组参数键污染

Express框架中，req.query对象默认解析URL查询字符串，但当查询参数包含数组形式（如?key[]=1&key[]=2）时，若未正确处理，可能引发键污染问题——即参数键名被意外覆盖或篡改，导致数据丢失或安全漏洞。核心解决方法在于规范数组参数传递方式，并实施严格的输入验证和过滤。例如，避免使用方括号语法，改用逗号分隔值（如?key=1,2），或在服务器端使用中间件对req.query进行深度清理。

理解req.query的数组参数解析机制

Express内置的查询解析器基于Node.js的querystring模块，默认将查询字符串转换为普通对象。对于重复键名，解析器会覆盖先前值，仅保留最后一个。若要支持数组参数，常见做法是采用方括号表示法（如?key[]=value1&key[]=value2），但Express默认不将其识别为数组——除非使用扩展解析库如qs。例如，直接使用req.query.key可能返回字符串而非数组，造成数据处理错误。这要求开发者明确解析策略，防止意外行为。

键污染的具体表现与风险

键污染通常出现在两种场景：一是恶意用户提交畸形参数（如?key[__proto__]=polluted），可能触发原型链污染，影响应用全局状态；二是参数键名冲突，导致合法数据被覆盖。例如，查询字符串?user=admin&user=guest会使req.query.user仅保留"guest"，丢失"admin"值。在数组参数中，若未验证输入格式，攻击者可注入额外键值，篡改业务逻辑。这种风险在API接口中尤为突出，可能引发数据泄露或服务中断。

标准解决方案：使用qs库进行安全解析

Express推荐使用qs库替代默认解析器，以支持嵌套对象和数组。通过配置app.set('query parser', 'extended')或自定义中间件，可安全处理数组参数。qs将方括号语法自动转换为数组，并提供深度限制选项，防止递归攻击。示例代码如下：

const express = require('express');
const qs = require('qs');
const app = express();

app.set('query parser', (str) => qs.parse(str, { depth: 5, arrayLimit: 20 }));

app.get('/api', (req, res) => {
  console.log(req.query.key); // 输入?key[]=1&key[]=2时，输出['1', '2']
  res.send('解析成功');
});

此方法能有效隔离参数，避免键污染。同时，设置depth和arrayLimit可限制解析复杂度，抵御恶意负载。

输入验证与过滤的最佳实践

仅依赖解析库不足以保证安全，必须结合输入验证。使用库如Joi或validator.js，对req.query的键和值进行白名单检查。例如，定义数组参数应只接受数字类型，并限制长度：

const Joi = require('joi');

const schema = Joi.object({
  key: Joi.array().items(Joi.number()).max(10).required(),
});

app.get('/data', (req, res) => {
  const { error, value } = schema.validate(req.query);
  if (error) return res.status(400).send('参数无效');
  // 使用清理后的value进行处理
});

此外，应避免直接将req.query传入数据库查询或模板引擎，防止注入攻击。对于敏感操作，建议重建参数对象，只提取预期键。

替代数组参数传递方案

为简化处理，可改用非数组格式传递多值参数。例如，使用逗号分隔字符串（如?key=1,2,3），并在服务器端用split(',')转换为数组。这种方式兼容性更广，且减少解析歧义。代码示例：

app.get('/list', (req, res) => {
  const keys = req.query.keys ? req.query.keys.split(',').filter(k => k.trim() !== '') : [];
  // 进一步验证keys内容
});

另一种方案是采用JSON编码参数（如?keys=%5B1%2C2%5D），但需注意URL长度限制和编码开销。选择方案时，需权衡易用性与安全性。

防御原型链污染的关键措施

键污染可能升级为原型链污染，即攻击者通过__proto__或constructor等键修改Object原型。Express应用中，应禁用解析器对原型属性的处理。使用qs库时，设置allowPrototypes: false选项：

app.set('query parser', (str) => qs.parse(str, { allowPrototypes: false, depth: 3 }));

同时，定期更新Express和qs版本以获取安全补丁。在业务逻辑中，避免使用Object.assign或扩展运算符合并不可信查询对象，改用浅拷贝或专用工具函数。

监控与日志记录策略

为及时发现键污染尝试，应在中间件中记录异常查询模式。例如，监控包含特殊字符（如[]、__proto__）的请求，并报警通知。实现方式：

app.use((req, res, next) => {
  const queryStr = JSON.stringify(req.query);
  if (queryStr.includes('__proto__') || queryStr.match(/\[\]/g)?.length > 5) {
    console.warn(`可疑查询参数: ${req.url} from IP: ${req.ip}`);
  }
  next();
});

日志应包含时间戳、IP和完整查询字符串，便于事后审计。结合速率限制，可降低攻击频率。

总结：构建健壮的参数处理流程

Express的req.query数组参数键污染问题，根源在于解析宽松和验证缺失。解决之道包括：采用qs库安全解析、实施严格输入验证、选择替代参数格式、防御原型链污染，并辅以监控日志。通过多层次防护，可确保应用数据完整性和安全性，避免因参数处理不当导致的业务风险。开发者应将这些措施纳入标准开发流程，定期审查代码，以适应不断演进的威胁环境。

Express的req.query与数组参数键污染

服务指南

帮助中心