1. 输入验证

为什么注册接口是输入验证的第一道关口

用户注册接口直接接收外部输入，且这些输入会进入数据库、日志、邮件模板等多个下游环节。如果不在入口处做严格校验，攻击者可以通过用户名注入特殊字符、通过邮箱字段夹带超长载荷、通过年龄字段传入负数或超大值来探测系统边界。本节采用白名单校验策略：只允许明确合法的字符和取值范围通过，其余一律拒绝。

白名单校验的核心原则是"默认拒绝"——先定义合法格式，再判断输入是否完全匹配。与之相对的黑名单（禁止特定字符）容易被编码绕过，不适合作为主要防线。

三个字段的校验规则设计

校验流程与错误聚合

校验不应在第一个错误处就返回，而应收集所有字段的错误后一次性返回结构化信息，方便前端逐项提示。每个错误包含字段名、错误码和可读消息。

关键实现代码

以下实现使用 Node.js 风格，不依赖任何第三方校验库，便于理解白名单校验的底层逻辑。校验器返回 { valid, errors } 结构，调用方根据 valid 决定是否继续。

// validators.js
const USERNAME_RE = /^[A-Za-z][A-Za-z0-9_]{2,19}$/;
const EMAIL_RE = /^[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,}$/;

function validateUsername(value) {
  if (typeof value !== 'string') {
    return { field: 'username', code: 'TYPE', message: '用户名必须是字符串' };
  }
  if (value.length < 3 || value.length > 20) {
    return { field: 'username', code: 'LENGTH', message: '用户名长度需在 3–20 之间' };
  }
  if (!USERNAME_RE.test(value)) {
    return { field: 'username', code: 'FORMAT', message: '用户名只能包含字母、数字、下划线，且以字母开头' };
  }
  return null;
}

function validateEmail(value) {
  if (typeof value !== 'string') {
    return { field: 'email', code: 'TYPE', message: '邮箱必须是字符串' };
  }
  if (value.length > 254) {
    return { field: 'email', code: 'LENGTH', message: '邮箱长度不能超过 254' };
  }
  if (!EMAIL_RE.test(value)) {
    return { field: 'email', code: 'FORMAT', message: '邮箱格式不正确' };
  }
  return null;
}

function validateAge(value) {
  if (!Number.isInteger(value)) {
    return { field: 'age', code: 'TYPE', message: '年龄必须是整数' };
  }
  if (value < 13 || value > 120) {
    return { field: 'age', code: 'RANGE', message: '年龄需在 13–120 之间' };
  }
  return null;
}

function validateRegister(body) {
  const errors = [];
  const checks = [
    validateUsername(body.username),
    validateEmail(body.email),
    validateAge(body.age),
  ];
  for (const err of checks) {
    if (err) errors.push(err);
  }
  return { valid: errors.length === 0, errors };
}

module.exports = { validateRegister };

接口层调用与响应

// server.js（Express 风格）
const express = require('express');
const { validateRegister } = require('./validators');
const app = express();
app.use(express.json());

app.post('/api/register', (req, res) => {
  const result = validateRegister(req.body);
  if (!result.valid) {
    return res.status(400).json({ ok: false, errors: result.errors });
  }
  // 校验通过后才进入注册逻辑
  return res.status(200).json({ ok: true, message: '注册成功' });
});

app.listen(3000);

验证用例与预期结果