为 Node.js 项目增加参数校验时，通常需要先人工定位请求参数的解构位置，再借助 Cursor 生成 Joi 或 Zod 校验逻辑，并同步修正接口代码细节（例如将 validate 调整为 validateAsync）。同时配合全局错误处理中间件统一返回 400 响应，或者也可以选择使用 express-validator 进行链式参数验证。
给 Node.js 项目添加参数校验，核心目的是拦截非法输入，避免未处理异常或危险逻辑被触发。例如，用户传入负数 ID 可能导致数据库查询报错，空字符串也可能绕过原本的权限判断。Cursor 作为 AI 原生代码编辑器，能够结合现有项目结构自动生成参数校验代码，但前提是你要清楚告诉它校验对象、校验规则以及校验失败后的返回方式。否则，生成结果很可能只做了基础类型判断，却没有真正抛出错误或返回明确提示。
确认校验入口点
打开项目中负责接收外部输入的文件，通常就是路由处理函数所在的位置，例如 src/routes/user.js，或 app.js 中通过 app.post('/api/login') 定义的接口回调。Cursor 无法自动判断“具体应该在哪一处加入参数校验”，因此必须手动定位到真正读取请求参数的位置——不是中间件声明行，而是 req.body、req.query 或 req.params 第一次被读取并参与业务处理的那一行。
找到类似 const { username, password } = req.body; 这样的解构语句后，把光标放到这行上方的空白位置，方便让 Cursor 在这里插入请求参数校验代码。
用Cursor生成Joi校验代码
选中整个请求处理函数（从 async (req, res) => { 开始到对应的结束大括号），右键 → Ask Cursor → 输入：“用 Joi 为这个接口添加参数校验，username 是必填字符串且长度 3-20，password 是必填字符串且至少 8 位，必须同时包含大小写字母和数字，校验失败时返回 400 和错误信息”。
Cursor 一般会生成一段包含 Joi.object().keys(...) 的参数校验逻辑，并插入到函数开头。需要特别注意的是：生成结果常默认使用 Joi.validate()，但新版 Joi 已经废弃这个方法，【必须手动改为 .validateAsync()】，否则运行时很容易直接报错。
修改后通常类似：const { error, value } = await schema.validateAsync(req.body); if (error) throw new Error(error.details[0].message);
配置全局错误拦截
第一步：在项目根目录创建 src/middleware/validationError.js，写入以下内容：
function validationError(err, req, res, next) {
if (err.name === 'ValidationError') {
return res.status(400).json({ success: false, message: err.message });
}
next(err);
}
第二步：在应用启动文件（如 app.js）中，确认这行代码位于所有路由注册之后、app.listen() 之前：app.use(validationError);
第三步：检查当前 Node.js 项目中是否已经安装 joi。如果没有安装，就执行：npm install joi。否则会出现 require('joi') 报错，而且 Cursor 自动生成的代码通常也不会帮你补齐这个依赖。
用Zod替代Joi（方法一）
如果项目本身使用 TypeScript，或者你更偏向轻量化的参数校验方案，也可以让 Cursor 改用 Zod。操作方式是：把光标放在原来的 Joi 校验代码块中，右键 → Ask Cursor → 输入：“把这段 Joi 校验改成 Zod 实现，保持相同规则，使用 safeParse，并在失败时抛出带 message 的错误”。
Cursor 往往会生成类似如下代码：const result = loginSchema.safeParse(req.body); if (!result.success) throw new Error(result.error.issues[0].message);。这里有一个很容易忽略的细节：Zod 本身并不会自动附带 HTTP 状态码，因此这类校验错误最终仍然需要交给上一步配置的全局错误中间件统一处理，再转换成 400 Bad Request 响应。
用express-validator快速注入（方法二）
第一步：执行 npm install express-validator。
第二步：在路由定义文件顶部加入：const { body, validationResult } = require('express-validator');
第三步：需要调整的是路由注册这一句。例如原来的 app.post('/login', handler)，可以改写为：app.post('/login', [body('username').isLength({ min: 3, max: 20 }), body('password').isLength({ min: 8 }).matches(/^(?=.*[a-z])(?=.*[A-Z])(?=.*d)/)], handler)。
第四步：在 handler 函数开头加入校验执行逻辑：const errors = validationResult(req); if (!errors.isEmpty()) { return res.status(400).json({ errors: errors.array() }); }。