为什么 Express 接口不能直接把 req.body 整体传给数据库层，白名单过滤怎么做？
围绕“为什么 Express 接口不能直接把 req.body 整体传给数据库层，白名单过滤怎么做”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明越权写字段（如 role）的风险，并给出在路由层用 pick/解构白名单的方案位置，不讲 ORM 层防护。
核心关键词Express 批量赋值 白名单 字段过滤
面试知识索引 · 分类、标签与搜索
全栈开发 · 安全面试题，10 道完整答案
全栈开发 · 安全面试题第 1 页，显示第 1–10 题，共找到 10 道完整解析，可继续按分类、标签与关键词缩小范围。
10筛选结果
52技术分类
178检索标签
1索引分页
快速定位
清除全部筛选分类、标签与关键词搜索
技术分类52 个
全部分类5000全栈开发88AI Agent511浏览器301JavaScript285React281AI 开发262CSS240Node.js217TypeScript206Vue180前端工程化138
查看全部 52 个分类
React Native135操作系统135数据库134Docker95计算机网络94API 设计90Kubernetes90HTML89Redis89分布式系统88系统设计86HTTP85Next.js60Angular58Linux53Nuxt51PostgreSQL46可观测性46设计模式46小程序45身份与权限45无障碍44MongoDB43PWA43Web 安全43Git42前端测试42前端性能41WebAssembly40测试40AI 工程37SvelteKit37Go35前端数据管理30React Router29AI 全栈28Svelte27算法12Java10数据结构5前端手写题3
第 1 页
本页面试问题
按稳定语义路径排序
- 0001
- 0002
Express 的 app.all() 适合什么场景，与 app.use() 语义上差在哪里？
集中在app.all与app.use的方法集合、路径匹配粒度差异。通过断言all只能完整路径匹配而use是前缀匹配，并给出鉴权场景下选型标准，避免中间件误拦截或缺失。
核心关键词Express app.all 与 app.use 区别 - 0003
用客户端传来的文件名直接拼接保存路径，在 Express 上传服务里会造成什么漏洞，如何防？
围绕“用客户端传来的文件名直接拼接保存路径，在 Express 上传服务里会造成什么漏洞，如何防”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 ../../ 路径穿越风险，以及用随机生成文件名、path.basename 过滤、限定上传目录三道防线的具体做法，不讲对象存。
核心关键词Express 上传 文件名 路径穿越 防护 - 0004
NestJS 的 ConfigurableModuleBuilder 相比手写 forRoot 有什么优势？
围绕“NestJS 的 ConfigurableModuleBuilder 相比手写 forRoot 有什么优势”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明它如何自动生成 register/forRoot 及 options token 的注入方式。
核心关键词NestJS ConfigurableModuleBuilder 动态模块 - 0005
NestJS 守卫和 Express 中间件在职责上如何分工？
围绕“NestJS 守卫和 Express 中间件在职责上如何分工”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖从执行时机、能否访问 ExecutionContext、依赖注入能力三方面区分。
核心关键词NestJS Guard 中间件 区别 - 0006
NestJS 中什么时候必须用 @Inject() 装饰器显式注入？
围绕“NestJS 中什么时候必须用 @Inject() 装饰器显式注入”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要讲清清基于类的注入与基于字符串/Symbol token 注入的区别。
核心关键词NestJS @Inject 装饰器 自定义 token - 0007
NestJS 模块的 imports、providers、exports 三者如何协作实现模块间共享？
解释NestJS中imports、providers、exports的协作规则：Provider默认私有，必须导出才能被其他模块注入。通过机制说明、具体场景和边界条件，帮助理解模块作用域与依赖可见性。
核心关键词NestJS module imports exports providers - 0008
NestJS 中如何用 @Optional() 处理可能不存在的依赖？
本文解释 NestJS @Optional() 装饰器的作用：依赖缺失时注入 undefined 而非抛错；说明其适用场景、判空要求，以及不能替代默认值或条件注入等边界。
核心关键词NestJS @Optional 可选依赖 - 0009
NestJS 支持属性注入吗？与构造函数注入相比应如何选择？
围绕“NestJS 支持属性注入吗？与构造函数注入相比应如何选择”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 @Inject() 属性注入的适用场景（如继承基类）及可测试性差异。
核心关键词NestJS 属性注入 构造函数注入 区别 - 0010
NestJS 中的依赖注入机制是如何工作的？
围绕“NestJS 中的依赖注入机制是如何工作的”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 NestJS 如何通过构造函数注入解析 Provider。
核心关键词NestJS 依赖注入 IoC 容器