3. 通过路径参数传递数据

路径参数（Path Parameters）是将动态数据直接嵌入 URL 路径中，实现 RESTful 风格动态路由的核心手段。一个设计良好的路径参数系统，必须完整覆盖 定义 → 提取 → 类型转换 → 校验 四个阶段，缺一不可。

3.1 路径参数定义

路径参数在路由模式中使用占位符声明，常见的定义语法有两种：

定义时应注意 参数名必须唯一，且不能包含路径分隔符 /。现代路由器通常要求在注册时明确区分动态段与静态段。

3.2 提取路径参数

路由匹配成功后，路由器会将 URL 中对应位置的原始字符串填充到参数容器中。以下展示一个典型的路由注册与参数提取实现：

// 路由定义示例（C++ 后端）
app.get("/users/{id}", [](const Request& req, Response& res) {
    // 提取原始参数（类型为 std::string 或 string_view）
    std::string id_str = req.param("{id}");
    
    // 检查参数是否存在
    if (id_str.empty()) {
        res.status(400).send("Missing user ID");
        return;
    }
    
    // 后续处理：类型转换与校验
    // ...
});

内部实现流程：路由器将注册的模式编译为有限状态机或正则表达式。当请求到达时，提取匹配组中的字符串，存入 <param_name, raw_string> 映射表。

3.3 类型转换

提取得到的原始参数为字符串，必须转换为其逻辑类型（如整数、浮点数、UUID 等）才能参与业务逻辑。推荐使用 std::from_chars 进行高性能无异常转换：

#include <charconv>   // std::from_chars
#include <string>
#include <system_error>

bool parse_id(const std::string& raw, int& out_id) {
    int id = 0;
    auto [ptr, ec] = std::from_chars(
        raw.data(), 
        raw.data() + raw.size(), 
        id
    );
    if (ec == std::errc()) {
        out_id = id;
        return true; // 转换成功
    }
    return false; // 转换失败（格式错误或溢出）
}

常见转换场景对比：

3.4 校验规则

类型转换只保证格式合法，无法保证语义正确。必须叠加校验规则，形成纵深防御：

• 范围校验：例如分页页码 page >= 1 && page <= 1000。
• 模式校验：使用预编译的正则表达式验证 UUID、邮箱等复杂格式。
• 集合校验：预定义有效值集合（如角色名、国家代码），通过哈希表判断。
• 长度/大小校验：防止恶意超长输入导致内存膨胀。

// 综合校验示例
int user_id = 0;
if (!parse_id(req.param("{id}"), user_id)) {
    res.status(400).send("Invalid ID format");
    return;
}

// 范围校验
if (user_id < 1 || user_id > 100000) {
    res.status(400).send("ID out of allowed range (1-100000)");
    return;
}

// 业务集合校验
const std::unordered_set<std::string> valid_roles = {"admin", "editor", "viewer"};
std::string role = req.param("{role}");
if (!valid_roles.contains(role)) {
    res.status(403).send("Invalid role specified");
    return;
}

// 通过所有校验，执行处理程序
handle_user_request(user_id, role, res);

3.5 调试与常见错误

3.6 性能与稳定性优化

• 预编译正则：在路由器初始化阶段编译所有正则表达式，避免每个请求都重新编译。
• 短路校验：将开销最小的校验（如长度检查）放在最前面，复杂校验（如数据库验证）放在最后。
• 限制参数长度：在提取阶段即截断超过上限的输入，防止下游处理超大字符串。
• 避免路径遍历：对包含 ../ 或 %2e%2e%2f 的参数进行归一化与拒绝。

// 参数长度限制与安全清洗示例
std::string raw = req.param("{filename}");
constexpr size_t MAX_FILENAME_LEN = 255;
if (raw.length() > MAX_FILENAME_LEN) {
    raw.resize(MAX_FILENAME_LEN);
}
// 拒绝路径遍历攻击
if (raw.find("..") != std::string::npos) {
    res.status(400).send("Invalid path traversal");
    return;
}