تجاوز صفحة الدخول بدون كلمة سر: ثغرة NoSQL Injection في Express و MongoDB

const express = require('express');
const mongoSanitize = require('express-mongo-sanitize');
const User = require('./models/User');
const app = express();

app.use(express.json());

// 1. تفعيل الميدل وير لمنع أي كائن يحتوي على $ أو .
app.use(mongoSanitize());

app.post('/api/login', async (req, res) => {
    const { username, password } = req.body;

    // 2. التحقق الإضافي من أن المدخلات عبارة عن Strings وليست Objects
    if (typeof username !== 'string' || typeof password !== 'string') {
        return res.status(400).json({ message: "مدخلات غير صالحة" });
    }

    const user = await User.findOne({ username, password });

    if (!user) {
        return res.status(401).json({ message: "بيانات الدخول غير صحيحة" });
    }

    res.json({ message: "تم تسجيل الدخول بنجاح", user });
});