Express.新功能和更新

Express.js 5.0.0 發佈：穩定性與安全性增強

備受青睞的 Node.js Web 應用框架 Express.js，一直是開發者關注的焦點。近日，Express.js 團隊正式發布了 5.0.0 版本。自 2014 年首個主要版本發布以來，十年光陰轉瞬即逝。在這十年間，Express.js 經歷了無數次的迭代和優化，而 5.0.0 版本則帶來了許多新特性和改進，為開發者帶來煥然一新的體驗。

一、版本發布概述

Express.js 5.0.0 版本的發布，核心目標在於穩定性和安全性。它旨在幫助開發者建立更強壯的 Node.js 應用，並為現代 Web 開發提供更堅實的基礎。在當今技術快速發展的環境中，應用的穩定性和安全性直接關係到使用者體驗和資料安全，因此 Express.js 團隊的這一舉動尤其重要。

二、Node.js 版本支援變更

Express 5 果斷放棄了對舊版 Node.js 的支援。根據發布說明，該版本不再支援 Node.js v18 之前的版本。這項改變看似簡單，卻影響深遠。對舊版 Node.js 的支持，在一定程度上限制了 Express.js 在效能和可維護性方面的重大改進。例如，舊版 Node.js 可能存在一些效能瓶頸，無法充分利用新的硬體特性和最佳化演算法，導致 Express 應用在高並發場景下的效能低。放棄對舊版的支持，不僅使持續整合(CI) 更穩定、更易於維護，而且使Express.js 能更好地擁抱新語言和新運行時的特性，同時擺脫不必要的依賴，從而減輕負擔，提升整體性能。

三、安全相關改善

(一) 路徑路由配對修改

經過全面的安全審計，Express.js 團隊對路徑路由匹配機制進行了關鍵性修改。為有效防禦正規表示式阻斷服務 (ReDoS) 攻擊，Express 5 不再支援正規表示式中的子表達式，例如 /:foo(d )。在 Express 4 中，我們可以使用類似 app.get('/:id(d )', (req, res) => res.send(ID: ${req.params.id})); 的程式碼來符合特定格式的路徑參數。但在 Express 5 中，這種方式不再被允許。 Express.JS 技術委員會成員Blake Embrey 提供了一個正規表示式範例（例如^/flights/([^/] ?)-([^/] ?)/?$），當使用/flights/ '-'.repeat(16_000) /x 來匹配時，實際耗時300 毫秒，而正常情況下應該少於1 毫秒。如此巨大的時間差異充分反映了正規表示式在特定情況下潛在的效能風險，這也是 Express 5 進行改進的重要原因。為確保應用程式安全，Express 團隊建議開發者使用功能強大的輸入驗證庫，例如 joi，來嚴格驗證輸入數據，從源頭預防惡意攻擊。

(二) 正規表示式通配符要求

Express 5 也對正規表示式中的通配符提出了明確的要求。通配符必須明確命名或替換為 (.*)。這提高了路由匹配的清晰度和可預測性。例如，Express 5 中類似 /foo 的路徑必須更新為 /foo(.*)。這樣，在進行路由匹配時，開發者可以更清楚地理解匹配規則，避免因規則不明確而導致的潛在問題。

(三) 路由中可選參數語法的變化

在路由中，可選參數的語法也發生了顯著變化。在 Express 4 中，使用 :name? 來表示可選參數，例如 app.get('/user/:id?', (req, res) => res.send(req.params.id || 'No ID'));。在 Express 5 中，語法變成 {/:name}，對應的程式碼範例為 app.get('/user{/:id}', (req, res) => res.send(req.params.id || 'No ID'));。雖然這種語法變更需要開發者進行一些程式碼調整，但它使路由規則更直觀易懂。

(四) 存取正規捕獲組參數的變化

在正規捕獲組中，不再允許透過索引存取未命名的參數。現在，參數必須命名。在 Express 4 中，我們可以使用類似 app.get('/user(s?)', (req, res) => res.send(req.params[0])); 的程式碼來取得捕獲組中的參數，這裡它會傳回 's'。但在 Express 5 中，需要命名參數，例如 app.get('/user:plural?', (req, res) => res.send(req.params.plural));。這種方式可以避免因索引混淆而導致的錯誤，提高程式碼的可讀性和可維護性。

(五) HTTP 狀態碼有效性檢查

Express 5 強制執行 HTTP 狀態碼的有效性檢查。這是防止靜默失敗、避免開發者陷入困難的調試過程中的重要防禦機制。在 Express 4 中，使用類似 res.status(978).send('Invalid status'); 的程式碼，雖然設定了無效的狀態碼 978，但它不會報錯，而是靜默失敗，這給開發者排查問題帶來很大困難。在 Express 5 中，相同的程式碼會直接拋出錯誤，提醒開發者及時發現並修正問題，大大提高了開發效率和應用穩定性。

四、非同步中間件和路由中錯誤處理的改進

Express.js 5 讓非同步中間件和路由中的錯誤處理更加簡潔有效率。它改進了非同步中間件和路由中的錯誤處理機制，可以自動將被拒絕的 Promise 傳遞給錯誤處理中介軟體。開發者不再需要手動使用 try/catch 區塊。在 Express 4 中，處理非同步請求時，程式碼可能如下所示：

app.get('/data', async (req, res, next) => {
    try {
        const result = await fetchData();
        res.send(result);
    } catch (err) {
        next(err);
    }
});

而在 Express 5 中，程式碼可以簡化為：

app.get('/data', async (req, res) => {
    const result = await fetchData();
    res.send(result);
});

這種改進不僅減少了程式碼量，而且使程式碼結構更清晰，降低了出錯的機率。

五、升級建議

儘管 Express 團隊盡力將重大變更最小化，但希望將 Express 程式碼升級到新版本的開發者仍然需要萬分謹慎。在升級過程中，可能會遇到各種相容性問題，例如上面提到的語法變更和 Node.js 版本要求。因此，開發者必須仔細閱讀線上遷移指南，並按照指南中的步驟逐步升級，以確保應用程式平穩過渡。

作為 OpenJS 基金會（At-Large 類別）的重要項目，Express.js 一直以來都為 Node.js 開發者提供強有力的支援。開發者可以閱讀完整的發布說明，深入了解更多技術細節和範例，從而更好地利用 Express.js 5.0.0 的新特性，建立更好的 Node.js 應用。相信在 Express.js 5.0.0 的幫助下，Node.js 應用開發將達到一個新的高度。

Leapcell：最佳無伺服器 Web 代管平台

最後，我想介紹一個最適合部署 Express 應用的平台：Leapcell

1. 多語言支援

   • 使用 JavaScript、Python、Go 或 Rust 進行開發。

2. 免費部署無限項目

   • 只需為使用付費－無請求，無費用。

3. 無與倫比的成本效益

   • 隨選付費，無空閒費用。
   • 例如：25 美元支援 694 萬次要求，平均回應時間為 60 毫秒。

4. 簡化的開發者體驗

   • 直覺的 UI，輕鬆設定。
   • 全自動 CI/CD 管道和 GitOps 整合。
   • 即時指標和日誌記錄，提供可操作的見解。

5. 輕鬆擴充與高效能

   • 自動擴充以輕鬆處理高並發。
   • 零營運開銷－只需專注於建置。

在文件中了解更多！

Leapcell Twitter：//m.sbmmt.com/link/7884effb9452a6d7a7a79499ef854afd

以上是Express.新功能和更新的詳細內容。更多資訊請關注PHP中文網其他相關文章！