PHP: полный мануал с примерами, функциями и ООП

От поля формы к управляемому запросу

Покупатель вводит артикул, каталог показывает нужный товар, сотрудник меняет разрешённый заголовок. Во всех трёх задачах человек передаёт значения, а приложение решает, какое условие поиска или изменения составить. Внешний запрос не должен становиться готовой командой базы. Сначала построим эту границу на одном поле, затем добавим доступ, сортировку, расчёты и просмотр старого BSON Javascript как данных.

$sku = 'BOX-1';
$filter = ['sku' => $sku];

Первая строка сохраняет текст в переменную. Во второй PHP-массив описывает условие: ключ sku — поле документа, значение BOX-1 — искомый артикул. Знак => соединяет ключ и значение массива. Этот массив ещё не запрос: ниже его передают MongoDB\Driver\Query и executeQuery. При правильном вводе база вернёт Органайзер; при массиве вместо строки программа остановится до поиска.

Если названия ещё незнакомы: переменная, ключи и значения массива, HTML-форма и GET/POST, первая коллекция и Query. Здесь повторяем необходимые шаги; полные программы дальше включают helper и инструкцию запуска.

MongoDB Security: три отдельные границы приложения

Официальная ветка MongoDB Security разделяет внедрение структуры запроса и внедрение сценария. В первом случае вместо ожидаемого значения появляется оператор или другая форма данных. Во втором внешнее значение встраивают в текст исполняемой программы. У MongoDB нет обычной SQL-строки, но это не отменяет необходимость отделять данные от управляющей структуры.

Проверка типа, проверка прав и ограничение нагрузки решают разные задачи. Даже строковый ObjectId не даёт права читать чужой документ. Даже безопасно составленный фильтр может быть дорогим без индекса. Даже корректно прочитанный код нельзя выводить исполняемым HTML. Это глава о построении прикладных запросов; настройка сетевого доступа, учётных записей MongoDB, TLS и резервного копирования остаётся отдельной частью эксплуатации.

Официальная ветка MongoDB Security; дальнейшие примеры раскрывают обе её темы с современными операторами.

Request injection: массив вместо строки из формы

У обычного поля <input name="sku"> PHP обычно получает строку. Но имя со скобками позволяет передать массив: sku[$ne]=unused после разбора даёт ключ sku, внутри которого лежит оператор $ne. Если без проверки поместить этот массив в условие поля sku, его структура станет частью запроса. Поэтому проверяем форму значения до конструктора Query; набор операторов остаётся в коде приложения.

<form method="get" action="catalog.php">
  <label for="sku">Артикул</label>
  <input id="sku" name="sku" value="BOX-1">
  <button type="submit">Найти товар</button>
</form>

Это HTML формы для гипотетического обработчика catalog.php: поле name связывает ввод со $_GET["sku"]. В URL получится catalog.php?sku=BOX-1. Сам обработчик здесь не развёрнут; ниже воспроизводим разбор той же query string в CLI и выполняем настоящие запросы базы. Для POST поля формы аналогично попадают в $_POST; выбор метода сам по себе не запрещает подменить тип.

parse_str('sku=BOX-1', $input);
$sku = $input['sku']; // строка BOX-1

parse_str('sku%5B%24ne%5D=unused', $input);
// $input['sku'] теперь массив ['$ne' => 'unused'], а не строка.

Та же проблема относится не только к find, но и к фильтрам update, upsert, delete и findAndModify. Не передавайте весь внешний JSON как filter, update или pipeline. Разрешённые имена полей и операторов задают явно. Если нужна буквальная строка в поиске по шаблону, отдельно учитывайте правила regex; HTML-экранирование не меняет смысл оператора MongoDB.

Контракт PHP Manual: request injection. Ниже первый пример показывает обычный поиск, два массива, пустую строку и корректную строку без совпадений.

Script injection: внешние значения и исполняемый код

Если склеивать текст JavaScript с вводом пользователя, кавычки и другие символы могут менять саму программу. Основной принцип официальной страницы — передавать значения отдельно от текста кода. Её примеры относятся к историческим API: серверная команда eval удалена в MongoDB4.2 после устаревания в 3.0. Их нельзя просто копировать как современный рабочий обработчик.

Для текущей разработки сначала выбирайте обычный запрос или aggregation. Цена × количество выражается через $multiply; выбор нужных документов — через $match и стандартные предикаты. $expr сам по себе не запускает JavaScript. В MongoDB8.0 server-side операции $where, $function и $accumulator объявлены устаревшими; mapReduce устарел раньше, в 5.0. Наши программы ни одну из этих операций не исполняют.

BSON Javascript — формат значения, который может встретиться в старых документах. Constructor и getter не исполняют его. Scope хранит отдельный документ параметров, но это не универсальное разрешение безопасного исполнения: code-with-scope (BSON type15) устарел, современный $where больше его не принимает; использование такого типа для $where устарело с 4.2.1. Поэтому в конце главы только инвентаризируем и переносим данные старого формата.

Источники ограничений: PHP Manual о script injection, MongoDB8.0: server-side JavaScript, $where и code-with-scope, разъяснение MongoDB об удалении eval.

Запустить программы и увидеть таблицы

Десять архивов — самостоятельные CLI-программы с настоящими чтением/записью в отдельной MongoDB. Нужны PHP CLI8.4+ x64, ext-mongodb2.5+, MongoDB8.0+; среда проверки PHP8.5.11/mongodb2.5.5/MongoDB8.0.34. Composer не требуется. В ZIP находятся example.php, mq128-helper.php и README с включением расширения, отдельным mongod и запуском. Поддерживающий helper вынесен из коротких учебных фрагментов, но полностью доступен в архиве.

php --ri mongodb
$env:PHPMAN_MONGODB_URI='mongodb://127.0.0.1:27075/?directConnection=true&retryWrites=false'
$env:PHPMAN_MONGODB_DATABASE='php_manual_lab'
php example.php

Откройте полученный result.html: таблица построена из результата программы, а не изображения кода. result.json содержит те же строки, metrics.json — версии, проверки и промежуточные значения. Каждая программа создаёт свою случайную коллекцию, ограничивает выдачу, затем удаляет именно её в finally и подтверждает отсутствие. После принудительного завершения процесса finally может не выполниться. Это учебный loopback-стенд; его настройки без аутентификации не являются конфигурацией публичного сервера.

Принять строку из формы и отклонить массив вместо неё

В каталоге человек вводит артикул BOX-1 и должен получить один нужный товар. HTML-поле предполагает текст, но HTTP-запрос можно составить без этой формы. Поэтому сервер сначала проверяет, что под именем sku действительно пришла строка, и только потом строит условие поиска.

Входные данные и понятия

У формы ниже input name="sku". При method="get" браузер помещает значение в query string: ?sku=BOX-1. PHP заполняет $_GET["sku"]. Имя sku[] или sku[$ne] превращает это значение в массив; %5B и %5D — закодированные квадратные скобки, %24 — знак доллара. В программе parse_str разбирает ровно такие строки в $input, чтобы видеть все пять случаев при CLI-запуске.

Минимальная запись

$sku = $input['sku'] ?? null;
if (!is_string($sku) || $sku === '') { throw new InvalidArgumentException('Нужна строка SKU'); }
$filter = ['sku' => $sku]; // Имя поля выбирает программа; строка — значение.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

Нормальная строка BOX-1 находит Органайзер. BOX-9 тоже корректна как ввод, но записи нет: это отдельный исход. Два массива и пустая строка дают отказ до обращения к коллекции. Конструкция ?? null означает «взять значение, а при его отсутствии/null — null»; is_string проверяет тип без приведения. Полный mq128Text дополнительно ограничивает длину 1..32 байт и запрещает NUL. foreach перебирает фиксированные запросы, try/catch превращает только ожидаемый отказ валидации в строку результата.

Границы и типичные ошибки

Проверена обработка query string через parse_str в CLI и реальные запросы MongoDB, а не HTTP-отправка формы. Обработчик формы должен передать $_GET в ту же проверку и сформировать понятный HTTP-ответ при отказе. Не исправляйте массив приведением (string): это не пользовательский артикул. Проверка HTML-поля на клиенте помогает человеку, но не заменяет серверный контракт. Поиск подстроки — другая операция: строку нельзя молча объявлять регулярным выражением.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
mq128Insert($manager,$namespace,[['_id'=>1,'sku'=>'BOX-1','title'=>'Органайзер'],['_id'=>2,'sku'=>'BOX-2','title'=>'Контейнер']]);
    $cases=['sku=BOX-1','sku%5B%24ne%5D=unused','sku%5B%5D=BOX-1','sku=','sku=BOX-9'];$rows=[];$accepted=0;$rejected=0;
    foreach($cases as $query){parse_str($query,$input);try{$sku=mq128Text($input['sku']??null,1,32);$accepted++;
        $found=mq128Find($manager,$namespace,['sku'=>$sku],['_id'=>0,'sku'=>1,'title'=>1]);
        $rows[]=[$query,get_debug_type($input['sku']??null),$found===[]?'Не найдено':$found[0]['title']];
    }catch(InvalidArgumentException){$rejected++;$rows[]=[$query,get_debug_type($input['sku']??null),'Отказ до запроса'];}}
    $checks=['accepted_two'=>$accepted===2,'rejected_three'=>$rejected===3,'normal_match'=>$rows[0][2]==='Органайзер','unknown_is_empty'=>$rows[4][2]==='Не найдено'];
    $details=['accepted_queries'=>$accepted,'rejected_before_database'=>$rejected];return $rows;
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-scalar-contract',['Query string', 'Тип после разбора', 'Результат'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-scalar-contract: OK
';

mongodb128-safe-scalar-contract: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Добавьте sku=0. Это непустая строка и допустимый артикул по текущим правилам, поэтому ожидается «Не найдено», а не отказ. Если бизнес разрешает только определённый формат, введите это отдельным правилом и объясните его пользователю.

Вопрос из практики: preparated statements with mongodb. Автор передаёт GET-параметры в Query и ищет аналог prepared statements. Обсуждение показывает путаницу между отсутствием SQL-строки и отсутствием инъекций. Это источник постановки проблемы; приведённый здесь код и решение написаны заново по актуальным официальным контрактам.

Найти документ по ID только внутри доступного аккаунта

В личном кабинете ссылка открывает заказ по ID. Одной проверки 24 hex-символов недостаточно: ID чужого заказа тоже может быть совершенно правильным. Запрос должен одновременно искать нужный документ и ограничивать его доступным аккаунтом.

Входные данные и понятия

Два документа принадлежат shop-a и shop-b. $trustedTenant="shop-a" — учебная замена уже проверенного серверного контекста. Это не реализованный вход в систему. Первый запрос передаёт свой ObjectId, второй — чужой и поддельное поле tenant_id, третий пытается передать массив вместо ID.

Минимальная запись

$id = mq128ObjectId($input['id'] ?? null);
$filter = ['_id' => $id, 'tenant_id' => $trustedTenant];
// $trustedTenant получен из проверенного серверного контекста, не из формы.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

Два условия одного фильтра должны выполняться одновременно. Поле tenant_id из внешнего массива вообще не участвует в построении фильтра. Поэтому второй запрос не открывает Заказ B. Ответ «Нет доступной записи» объединяет отсутствие и недоступность; он не подтверждает пользователю существование чужого объекта. Преобразование строки в ObjectId меняет BSON-тип сравнения, но не выдаёт право доступа.

Границы и типичные ошибки

Настоящее приложение отдельно проверяет сессию/токен и получает доверенный tenant_id на сервере. Здесь этого HTTP-процесса нет. При чтении, обновлении и удалении сохраняйте ограничение доступа в самом запросе; проверка только во время показа кнопки не помогает другому запросу. При изменениях роли/членства учитывайте выбранную модель доступа и актуальность серверного контекста.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
$a='659200800000000000000001';$b='659200800000000000000002';
    mq128Insert($manager,$namespace,[['_id'=>new MongoDB\BSON\ObjectId($a),'tenant_id'=>'shop-a','title'=>'Заказ A'],['_id'=>new MongoDB\BSON\ObjectId($b),'tenant_id'=>'shop-b','title'=>'Заказ B']]);
    $trustedTenant='shop-a';$cases=[['id'=>$a],['id'=>$b,'tenant_id'=>'shop-b'],['id'=>['$ne'=>null]]];$rows=[];$blocked=0;
    foreach($cases as $i=>$input){try{$id=mq128ObjectId($input['id']??null);
        $found=mq128Find($manager,$namespace,['_id'=>$id,'tenant_id'=>$trustedTenant],['_id'=>0,'title'=>1]);
        $rows[]=[$i+1,$found===[]?'Нет доступной записи':$found[0]['title']];
    }catch(InvalidArgumentException){$blocked++;$rows[]=[$i+1,'Неверный формат ID'];}}
    $checks=['own_document'=>$rows[0][1]==='Заказ A','foreign_document_not_returned'=>$rows[1][1]==='Нет доступной записи','array_rejected'=>$blocked===1];
    $details=['trusted_tenant'=>$trustedTenant,'external_tenant_field_used'=>false];return $rows;
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-owned-id',['Запрос', 'Результат для shop-a'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-owned-id: OK
';

mongodb128-safe-owned-id: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Поменяйте доверенный контекст на shop-b и ожидаемые ответы: первый ID перестанет быть доступным, второй станет доступен. Поле tenant_id из формы по-прежнему не должно выбирать контекст.

Изменить только разрешённое поле без массового присваивания

Форма редактирования позволяет изменить заголовок карточки. Если передать весь POST-массив в обновление, туда могут попасть поля, которых на форме вообще нет. Покажем запись нового title и одновременно убедимся, что role и чужая карточка не изменились.

Входные данные и понятия

Разрешено только поле title. В коллекции свои и чужие данные, role=reader. Первый вход содержит новый текст; второй дополнительно role=admin; третий — массив вместо title. Это искусственные входные массивы: реальный POST проходит тот же договор о полях, а проверка отправителя формы выполняется отдельно.

Минимальная запись

$allowed = ['title'];
if (array_diff(array_keys($input), $allowed) !== []) { throw new InvalidArgumentException('Лишние поля'); }
$update = ['$set' => ['title' => mq128Text($input['title'] ?? null, 1, 80)]];
// $set и title принадлежат коду; вход не становится готовым документом обновления.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

array_keys получает имена входных полей, array_diff обнаруживает имена вне списка title. $set здесь — оператор обновления MongoDB, а не PHP-присваивание и не одноимённая стадия aggregation. Он изменяет только перечисленные поля. multi=false запрещает массовую запись, upsert=false не создаёт новый документ при промахе. getMatchedCount проверяет, что нужная существующая запись найдена; итоговая таблица показывает Новый заголовок / reader.

Границы и типичные ошибки

Предотвращение массового присваивания и проверка доступа — разные обязанности, поэтому присутствуют обе. HTTP-обработчику изменения также нужны аутентификация и подходящая защита от CSRF; CLI-пример их не заявляет. Ограничение title задано в байтах, поскольку strlen считает байты. Для пользовательского ограничения в символах выберите mb_strlen и явную кодировку, а затем отдельно ограничьте объём хранения.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
mq128Insert($manager,$namespace,[['_id'=>1,'tenant_id'=>'shop-a','title'=>'Черновик','role'=>'reader'],['_id'=>2,'tenant_id'=>'shop-b','title'=>'Чужой','role'=>'reader']]);
    $cases=[['title'=>'Новый заголовок'],['title'=>'Подмена','role'=>'admin'],['title'=>['$ne'=>null]]];$rows=[];$updates=0;$rejected=0;
    foreach($cases as $i=>$input){try{
        if(array_diff(array_keys($input),['title'])!==[]){throw new InvalidArgumentException('unknown_fields');}
        $title=mq128Text($input['title']??null,1,80);$bulk=new MongoDB\Driver\BulkWrite;
        $bulk->update(['_id'=>1,'tenant_id'=>'shop-a'],['$set'=>['title'=>$title]],['multi'=>false,'upsert'=>false]);
        $result=$manager->executeBulkWrite($namespace,$bulk,['writeConcern'=>new MongoDB\Driver\WriteConcern(1,3000)]);
        if($result->getMatchedCount()!==1){throw new RuntimeException('Expected owned document');}$updates++;$rows[]=[$i+1,'Сохранено'];
    }catch(InvalidArgumentException){$rejected++;$rows[]=[$i+1,'Отказ до записи'];}}
    $saved=mq128Find($manager,$namespace,[],['_id'=>1,'title'=>1,'role'=>1]);
    $checks=['one_update'=>$updates===1,'two_rejections'=>$rejected===2,'title_updated'=>$saved[0]['title']==='Новый заголовок','role_unchanged'=>$saved[0]['role']==='reader','foreign_unchanged'=>$saved[1]['title']==='Чужой'];
    $details=['stored_documents'=>$saved];$rows[]=['Итог',$saved[0]['title'].' / '.$saved[0]['role']];return $rows;
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-allowed-update',['Случай', 'Результат'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-allowed-update: OK
';

mongodb128-safe-allowed-update: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Разрешите поле description как вторую строку с собственным пределом длины. Явно добавьте только его в $set; вход role должен по-прежнему отвергаться. Проверьте, что отсутствие description не стирает старое значение, если договор формы этого не требует.

Вопрос из практики: MongoDB injection in PHP and HTML. Вопрос о лишних POST-полях и массиве вместо ожидаемой строки показывает, почему форма не является серверным договором о данных. Это источник постановки проблемы; приведённый здесь код и решение написаны заново по актуальным официальным контрактам.

Разрешить выбор сортировки и вернуть только нужную страницу

Каталог должен показать первые два активных товара по возрастанию цены. Пользователь выбирает понятное имя сортировки, а приложение переводит его в заранее заданный запрос. Нет смысла получать все документы, затем сортировать большой PHP-массив и обрезать его на экране.

Входные данные и понятия

Четыре товара: три активных по цене 400, 100 и 250, один архивный за 50. Вход sort=price_asc и limit="2". Карта сортировок содержит только price_asc и price_desc; проекция отдаёт title/price, скрывая _id и внутренние поля. Число строк ограничено диапазоном 1..20.

Минимальная запись

$sorts = ['price_asc' => ['price' => 1, '_id' => 1]];
$sort = $sorts[$input['sort']]; // До обращения проверены строковый тип и разрешённый ключ.
$options = ['sort' => $sort, 'projection' => ['_id'=>0, 'title'=>1, 'price'=>1], 'limit' => 2];

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

В options sort выбирается через карту, а не принимается целым документом от клиента. Второй ключ _id делает порядок устойчивым при одинаковой цене. limit ограничивает число возвращённых документов; batchSize управляет размером порций курсора и не заменяет limit. _id=0 — допустимое исключение из включающей проекции. Отдельно отвергнуты 0, 21, массив и строка 2x; $natural не является разрешённым именем сортировки.

Границы и типичные ошибки

Маленький limit не гарантирует маленькую стоимость поиска: для большой коллекции нужны подходящий индекс и план запроса. maxTimeMS ограничивает серверное выполнение, но не подменяет индексы или политику нагрузки. Здесь денежные целые — учебные значения без конвертации валют. Следующая страница требует явного правила пагинации; порядок _id сам по себе не является курсором.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
mq128Insert($manager,$namespace,[['_id'=>1,'title'=>'Ящик','price'=>400,'active'=>true,'internal'=>'x'],['_id'=>2,'title'=>'Лоток','price'=>100,'active'=>true,'internal'=>'y'],['_id'=>3,'title'=>'Коробка','price'=>250,'active'=>true,'internal'=>'z'],['_id'=>4,'title'=>'Архив','price'=>50,'active'=>false,'internal'=>'q']]);
    $sorts=['price_asc'=>['price'=>1,'_id'=>1],'price_desc'=>['price'=>-1,'_id'=>1]];
    $input=['sort'=>'price_asc','limit'=>'2'];$sortKey=mq128Text($input['sort']??null,1,20);
    if(!array_key_exists($sortKey,$sorts)){throw new InvalidArgumentException('sort');}
    $limit=mq128Limit($input['limit']??null);
    $cursor=$manager->executeQuery($namespace,new MongoDB\Driver\Query(['active'=>true],['sort'=>$sorts[$sortKey],'projection'=>['_id'=>0,'title'=>1,'price'=>1],'limit'=>$limit,'batchSize'=>$limit+1,'maxTimeMS'=>1500]));
    $cursor->setTypeMap(['root'=>'array','document'=>'array','array'=>'array']);$found=$cursor->toArray();
    $badLimits=0;foreach(['0','21',['$gt'=>0],'2x'] as $bad){try{mq128Limit($bad);}catch(InvalidArgumentException){$badLimits++;}}
    $checks=['only_two_rows'=>count($found)===2,'database_sort'=>array_column($found,'price')===[100,250],'private_field_absent'=>!array_key_exists('internal',$found[0]),'invalid_limits_rejected'=>$badLimits===4,'sort_key_whitelist'=>!array_key_exists('$natural',$sorts)];
    $details=['approved_sort'=>$sorts[$sortKey],'projection'=>['title','price'],'limit'=>$limit];return array_map(fn($d)=>[$d['title'],$d['price']],$found);
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-bounded-catalog',['Товар', 'Цена, коп.'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-bounded-catalog: OK
';

mongodb128-safe-bounded-catalog: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Добавьте разрешённую сортировку title_asc с _id как дополнительным ключом. Не позволяйте клиенту выбрать произвольное поле. Для реального большого каталога сопоставьте фильтр и сортировку с составным индексом из главы об индексах.

Сохранить знак доллара как текст внутри агрегации

Экран редактора должен показать подпись, которую ввёл пользователь. Подпись "$cost" — обычный текст. Но внутри выражения aggregation строка с начальным $ имеет специальный смысл: она обращается к полю документа. Сравним оба результата рядом.

Входные данные и понятия

В документе title="Этикетка", cost=700. Пользовательская строка равна "$cost". В стадии $project поле field_value намеренно читает "$cost", а literal_text получает ту же строку через оператор $literal.

Минимальная запись

$project = ['field_value' => '$cost', 'literal_text' => ['$literal' => $input]];
// В выражении '$cost' — путь к полю; $literal сохраняет именно текст '$cost'.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

Здесь два языка обозначений: PHP $input — переменная программы, а строка '$cost' внутри pipeline — ссылка MongoDB на поле. Одинарные кавычки PHP не подставляют переменную; MongoDB интерпретирует полученную строку позже в контексте выражения. $literal возвращает значение без такого вычисления. Имена стадий, полей проекции и весь pipeline всё равно формирует программа.

Границы и типичные ошибки

$literal решает конкретную задачу контекста aggregation-expression. Это не универсальная очистка запроса, не HTML-экранирование и не замена проверки входного типа. В обычном equality-фильтре строковое значение "$cost" уже сравнивается как строка. Не удаляйте знак доллара из пользовательских данных: можно изменить нужную человеку подпись.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
mq128Insert($manager,$namespace,[['_id'=>1,'title'=>'Этикетка','cost'=>700]]);
    $input='$cost';$literal=mq128Text($input,1,32);
    $pipeline=[['$match'=>['_id'=>1]],['$project'=>['_id'=>0,'title'=>1,'field_value'=>'$cost','literal_text'=>['$literal'=>$literal]]],['$limit'=>1]];
    $found=mq128Command($manager,$db,['aggregate'=>$collection,'pipeline'=>$pipeline,'cursor'=>['batchSize'=>2],'maxTimeMS'=>1500]);$d=$found[0];
    $checks=['one_result'=>count($found)===1,'field_reference'=> $d['field_value']===700,'literal_not_evaluated'=>$d['literal_text']==='$cost'];
    $details=['pipeline'=>$pipeline];return [[$d['title'],$d['field_value'],$d['literal_text']]];
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-literal-expression',['Товар', 'Ссылка на поле $cost', 'Текст пользователя'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-literal-expression: OK
';

mongodb128-safe-literal-expression: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Замените подпись на "$unknown". Часть literal_text должна показать ровно этот текст. Отдельно обсудите, почему путь к отсутствующему полю в выражении не равен строке с его названием.

Рассчитать строки заказа обычными операторами базы

В заказе нужно показать стоимость каждой позиции: цена × количество. Для этого не требуется хранить или выполнять JavaScript на сервере базы. MongoDB умеет вычислить произведение и вернуть только позиции выбранного заказа стандартными операторами.

Входные данные и понятия

У заказа A две позиции: BOX по 2500 копеек × 2 и TRAY по 1200 копеек × 3. Третья позиция относится к B. $match выбирает A, $project сохраняет sku и вычисляет line_total через $multiply. В конце заданы сортировка и limit.

Минимальная запись

$pipeline = [
    ['$match' => ['order' => 'A']],
    ['$project' => ['_id'=>0, 'sku'=>1, 'line_total'=>['$multiply'=>['$price', '$qty']]]],
    ['$limit' => 10]
]; // Числа хранятся в копейках, расчёт выполняет MongoDB.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

Строки '$price' и '$qty' означают чтение числовых полей цены в копейках и количества. Массив аргументов $multiply содержит два выражения; их произведение становится новым полем результата. $project не изменяет исходные документы. В этой задаче PHP получает уже нужные строки, а не все заказы для последующей фильтрации. Проверка сверяет обе суммы по строкам; отдельный серверный общий итог делают через $group/$sum.

Границы и типичные ошибки

Числа здесь малы и целые; пример не задаёт универсальную политику округления и переполнения денег. Для больших диапазонов и дробных сумм нужна явная модель Int64/Decimal128. Оператор $expr позволяет использовать aggregation-выражения в фильтре и сам по себе не означает выполнение JavaScript. Запрет $where не делает безопасным произвольный pipeline от клиента: структуру всё равно выбирает сервер приложения.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
mq128Insert($manager,$namespace,[['_id'=>1,'order'=>'A','sku'=>'BOX','price'=>2500,'qty'=>2],['_id'=>2,'order'=>'A','sku'=>'TRAY','price'=>1200,'qty'=>3],['_id'=>3,'order'=>'B','sku'=>'BOX','price'=>2500,'qty'=>5]]);
    $pipeline=[['$match'=>['order'=>'A']],['$project'=>['_id'=>1,'sku'=>1,'line_total'=>['$multiply'=>['$price','$qty']]]],['$sort'=>['_id'=>1]],['$limit'=>10]];
    $found=mq128Command($manager,$db,['aggregate'=>$collection,'pipeline'=>$pipeline,'cursor'=>['batchSize'=>11],'maxTimeMS'=>1500]);
    $fieldNames=array_keys($found[0]);sort($fieldNames);
    $checks=['only_order_a'=>count($found)===2,'server_totals'=>array_column($found,'line_total')===[5000,3600],'only_output_fields'=>$fieldNames===['_id','line_total','sku']];
    $details=['pipeline'=>$pipeline,'unit'=>'kopecks','server_side_javascript_executed'=>false];return array_map(fn($d)=>[$d['sku'],$d['line_total']],$found);
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-native-calculation',['Позиция заказа A', 'Стоимость строки, коп.'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-native-calculation: OK
';

mongodb128-safe-native-calculation: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Добавьте третью позицию заказа A и посчитайте её итог в той же стадии. Затем получите общий итог через $group с $sum; не загружайте ради общей суммы многотысячный список в PHP.

Вопрос из практики: MongoDB Data API injection attacks. Автор спрашивает, защищает ли API автоматически от опасной структуры, переданной пользователем. Название старого API не делает произвольный фильтр безопасным. Это источник постановки проблемы; приведённый здесь код и решение написаны заново по актуальным официальным контрактам.

Прочитать BSON Javascript как данные, не выполняя код

При переносе старой коллекции обнаружилось поле BSON Javascript. Администратору нужно понять, какой текст там лежит и есть ли связанные значения. Получим просмотрщик: сохранение и чтение такого поля не означает запуск функции из этого текста.

Входные данные и понятия

Две записи содержат одинаковый текст function () { return factor; }. У первой нет scope, у второй scope хранит factor=3. Scope — отдельный документ имён и значений, исторически связанный с кодом. В результате показаны текст кода, PHP-тип scope и JSON его содержимого.

Минимальная запись

$js = new MongoDB\BSON\Javascript('function () { return factor; }', ['factor'=>3]);
$text = $js->getCode();
$scope = $js->getScope(); // stdClass с factor=3; это чтение данных, не запуск функции.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

new MongoDB\BSON\Javascript создаёт PHP-объект для BSON-значения. Само слово return находится внутри строки и не возвращает 3 из нашей PHP-программы. getCode возвращает эту строку; getScope — null либо объект stdClass; (string)$rule даёт тот же текст, что getCode. Курсор настроен на PHP-массивы для документов, но scope этого BSON-объекта остаётся объектом.

Границы и типичные ошибки

BSON JavaScript code with scope (type15) устарел. В MongoDB 8.0 также устарело server-side выполнение через $where/$function/$accumulator. Это отдельные ограничения: чтение сохранённого поля показано, запуск не предлагается. Не вставляйте полученный текст в eval, HTML script, $where или $function. Просмотрщик экранирует HTML и выводит только текст.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
$code='function () { return factor; }';
    mq128Insert($manager,$namespace,[['_id'=>1,'rule'=>new MongoDB\BSON\Javascript($code)],['_id'=>2,'rule'=>new MongoDB\BSON\Javascript($code,['factor'=>3])]]);
    $found=mq128Find($manager,$namespace,[],['_id'=>1,'rule'=>1]);$rows=[];
    foreach($found as $d){$js=$d['rule'];$rows[]=[$d['_id'],$js->getCode(),get_debug_type($js->getScope()),mq128Json($js->getScope())];}
    $checks=['two_values'=>count($found)===2,'plain_scope_null'=>$found[0]['rule']->getScope()===null,'scope_object'=>$found[1]['rule']->getScope() instanceof stdClass,'factor_preserved'=>$found[1]['rule']->getScope()->factor===3,'string_is_code'=>(string)$found[1]['rule']===$code];
    $details=['executed_code'=>false,'same_text_different_scope'=>true];return $rows;
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-inspect-javascript',['ID', 'Исходный код как строка', 'Тип scope', 'Содержимое scope'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-inspect-javascript: OK
';

mongodb128-safe-inspect-javascript: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Измените scope factor на 4. В таблице должно измениться только содержимое scope; никакого вычисленного результата 4 автоматически не появится. Для новой бизнес-модели храните явный вид операции и параметры, а не код.

Различить отсутствующий scope, пустой документ и ошибку NUL

При экспорте старых правил нельзя смешивать «scope не задан» и «scope задан пустым документом». Одновременно покажем одну конкретную ошибку constructor: нулевой байт в строке кода.

Входные данные и понятия

Три допустимых значения имеют код function () { return 7; }, но constructor получает null, [] и (object)[]. Четвёртая попытка содержит NUL внутри строки. [] — PHP-массив, (object)[] — пустой объект; оба разрешены как вход scope.

Минимальная запись

$withoutScope = new MongoDB\BSON\Javascript('function () { return 7; }', null);
$emptyScope = new MongoDB\BSON\Javascript('function () { return 7; }', []);
// getScope(): null и пустой stdClass соответственно. Нулевой байт в code запрещён.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

Отсутствующий scope сериализуется без ключа $scope, а пустой заданный документ сохраняет этот ключ с {}. Поэтому проверка array_key_exists на JSON-представлении отличается от простой проверки «scope пустой». PHP get_debug_type показывает класс, не число элементов. Исключение NUL поймано точечно как MongoDB\Driver\Exception\InvalidArgumentException; прочие ошибки базы не маскируются успешной таблицей.

Границы и типичные ошибки

Эта проверка не является валидатором синтаксиса или безопасного поведения JavaScript. Запрет NUL — ограничение значения constructor, а не анализ содержания программы. Страница PHP Manual исторически предлагала scope для отделения значений от текста; современный $where больше не принимает code-with-scope. Пустой scope не обходит это ограничение.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
$code='function () { return 7; }';$docs=[['_id'=>1,'rule'=>new MongoDB\BSON\Javascript($code,null)],['_id'=>2,'rule'=>new MongoDB\BSON\Javascript($code,[])],['_id'=>3,'rule'=>new MongoDB\BSON\Javascript($code,(object)[])]];
    $nul=false;try{new MongoDB\BSON\Javascript("return\0 7;");}catch(MongoDB\Driver\Exception\InvalidArgumentException){$nul=true;}
    mq128Insert($manager,$namespace,$docs);$found=mq128Find($manager,$namespace,[],['_id'=>1,'rule'=>1]);$rows=[];
    foreach($found as $d){$scope=$d['rule']->getScope();$json=json_decode(mq128Json($d['rule']->jsonSerialize()),true,512,JSON_THROW_ON_ERROR);$rows[]=[$d['_id'],$scope===null?'Нет scope':mq128Json($scope),array_key_exists('$scope',$json)?'Есть $scope':'Без $scope'];}
    $checks=['three_stored'=>count($found)===3,'no_scope'=>$found[0]['rule']->getScope()===null,'empty_scope_is_object'=>$found[1]['rule']->getScope() instanceof stdClass && get_object_vars($found[1]['rule']->getScope())===[],'object_scope_is_object'=>$found[2]['rule']->getScope() instanceof stdClass,'nul_rejected'=>$nul];
    $details=['nul_exception'=>'MongoDB\\Driver\\Exception\\InvalidArgumentException','code_executed'=>false];$rows[]=['NUL','Отклонён','Не записан'];return $rows;
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-scope-boundaries',['Случай', 'getScope / действие', 'JSON-представление'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-scope-boundaries: OK
';

mongodb128-safe-scope-boundaries: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Добавьте непустой scope с ключом enabled=false. Убедитесь, что false сохранён как значение, а не принят за отсутствие scope. Сравнивайте наличие и тип, а не только truthy/falsy.

Перенести код и scope через типизированный JSON

Просмотрщик должен выгрузить старое правило в файл и затем восстановить его тип и scope. Если записать только (string)$rule, останется код, а параметры потеряются. Если просто вызвать json_decode, получится обычный массив, а не BSON Javascript.

Входные данные и понятия

Правило содержит factor=3 и label="<rule>". Пример показывает legacy-представление jsonSerialize для диагностики и отдельно Canonical Extended JSON целого Document для типизированного обмена. Восстановленное значение действительно записывается второй записью и читается обратно.

Минимальная запись

$json = MongoDB\BSON\Document::fromPHP(['rule'=>$rule])->toCanonicalExtendedJSON();
$restored = MongoDB\BSON\Document::fromJSON($json)->get('rule');
// (string)$rule хранит только code и потерял бы scope. JSON-декодер PHP не создаёт BSON-объект.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

jsonSerialize возвращает данные, которые может превратить в строку json_encode; это не обязательно PHP-массив по контракту mixed. Document::fromJSON понимает Extended JSON и восстанавливает BSON-значение. get("rule") достаёт поле. Контроль сравнивает и код, и scope, поскольку одинаковый текст при разных параметрах — разные данные. Подпись <rule> видна в HTML как текст благодаря отдельному HTML-экранированию.

Границы и типичные ошибки

jsonSerialize описан драйвером как legacy Extended JSON; не объявляйте его автоматически современным canonical-режимом для любых BSON-типов. Для обмена целым документом выберите формат явно. JSON из внешнего источника всё равно требует проверки схемы и ограничений объёма; восстановленный Javascript не становится доверенным или разрешённым к исполнению.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
$original=new MongoDB\BSON\Javascript('function () { return factor; }',['factor'=>3,'label'=>'<rule>']);
    mq128Insert($manager,$namespace,[['_id'=>1,'rule'=>$original]]);
    $loaded=mq128Find($manager,$namespace,['_id'=>1],['_id'=>0,'rule'=>1])[0]['rule'];
    $legacy=mq128Json($loaded->jsonSerialize());$canonical=MongoDB\BSON\Document::fromPHP(['rule'=>$loaded])->toCanonicalExtendedJSON();
    $plain=json_decode($canonical,true,512,JSON_THROW_ON_ERROR);$restored=MongoDB\BSON\Document::fromJSON($canonical)->get('rule');
    mq128Insert($manager,$namespace,[['_id'=>2,'rule'=>$restored]]);$saved=mq128Find($manager,$namespace,['_id'=>2],['_id'=>0,'rule'=>1])[0]['rule'];
    $checks=['plain_decode_is_array'=>is_array($plain['rule']),'restored_bson'=>$restored instanceof MongoDB\BSON\Javascript,'code_preserved'=>$saved->getCode()===$loaded->getCode(),'scope_preserved'=>mq128Json($saved->getScope())===mq128Json($loaded->getScope()),'legacy_contains_code'=>json_decode($legacy,true,512,JSON_THROW_ON_ERROR)['$code']===$loaded->getCode()];
    $details=['legacy_json'=>$legacy,'canonical_json'=>$canonical,'restored_scope'=>$saved->getScope()];
    return [['json_decode','array'],['Document::fromJSON',get_debug_type($restored)],['Сохранённый code',$saved->getCode()],['Сохранённый scope',mq128Json($saved->getScope())]];
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-javascript-json',['Шаг', 'Результат'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-javascript-json: OK
';

mongodb128-safe-javascript-json: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Поменяйте factor в экспортированном JSON и восстановите данные только в учебной коллекции. Сравнение scope должно заметить изменение. Не используйте совпадение одной строки кода как доказательство идентичности всего правила.

Сделать типизированный просмотрщик старых правил

Код просмотра хочется использовать и после чтения коллекции, и после восстановления Extended JSON. Общий интерфейс описывает три нужные операции, чтобы одна функция могла читать code, scope и строковое представление без знания места получения значения.

Входные данные и понятия

В коллекции два настоящих BSON Javascript: с factor=3 и без scope. JavascriptInterface обозначен как тип параметра mq128Describe, свойства Mq128RuleView::$rule и результата value(). Интерфейс содержит getCode, getScope и __toString.

Минимальная запись

function describe(MongoDB\BSON\JavascriptInterface $rule): array {
    return ['code'=>$rule->getCode(), 'scope'=>$rule->getScope()];
}
// Тип подходит параметру, свойству и результату метода. Он не является разрешением выполнить код.

Фрагмент выделяет один шаг. Это часть полной программы ниже, где заданы данные, подключение, запрос, таблица результата и очистка.

Результат

Почему получился такой результат

Тип параметра сообщает PHP и читателю, какие методы здесь ожидаются. Конструктор Mq128RuleView с public-параметром одновременно объявляет и заполняет свойство — это constructor promotion. Реальная логика просмотра остаётся простой: два getter и преобразование в строку. Интерфейс не имеет своего constructor и самостоятельно ничего не хранит. В карточках ниже раскрыт контракт каждого метода.

Границы и типичные ошибки

В примере используются настоящие объекты расширения. Произвольная пользовательская реализация интерфейса не получает обещания автоматического BSON-кодирования и может содержать свой PHP-код в методах. С ext-mongodb2.0 типы возврата обязательны. Для новых правил разумнее явная структура kind=multiply,factor=3 и разрешённый обработчик; details только показывает предложение такой модели, а не автоматический перевод старого JS.

<?php
declare(strict_types=1);
require __DIR__.'/mq128-helper.php';
[$uri,$db]=mq128Config();
$manager=new MongoDB\Driver\Manager($uri,['connectTimeoutMS'=>1000,'serverSelectionTimeoutMS'=>1500,'socketTimeoutMS'=>2000,'retryReads'=>false]);
$runtime=['php'=>PHP_VERSION,'extension'=>phpversion('mongodb'),'server'=>mq128Command($manager,$db,['buildInfo'=>1])[0]['version'],'execution'=>'database'];
$checks=[];$details=[];
$rows=mq128WithCollection($manager,$db,function(string $namespace,string $collection) use($manager,$db,&$checks,&$details): array {
mq128Insert($manager,$namespace,[['_id'=>1,'rule'=>new MongoDB\BSON\Javascript('function () { return factor; }',['factor'=>3])],['_id'=>2,'rule'=>new MongoDB\BSON\Javascript('function () { return 7; }')]]);
    $found=mq128Find($manager,$namespace,[],['_id'=>1,'rule'=>1]);$rows=[];$allInterfaces=true;
    foreach($found as $d){$view=new Mq128RuleView($d['rule']);$v=mq128Describe($view->value());$allInterfaces=$allInterfaces && $view->rule instanceof MongoDB\BSON\JavascriptInterface;$rows[]=[$d['_id'],$v['code'],$v['scope'],$v['same_text']];}
    $checks=['two_contract_values'=>$allInterfaces && count($rows)===2,'first_scope'=>$rows[0][2]==='{"factor":3}','second_scope'=>$rows[1][2]==='null','alias_matches'=>$rows[0][3] && $rows[1][3]];
    $details=['parameter_property_return'=>'MongoDB\\BSON\\JavascriptInterface','new_rule_model'=>['kind'=>'multiply','factor'=>3],'automatic_code_translation'=>false];return $rows;
});
$checks['owned_collection_removed']=true;
mq128Report('mongodb128-safe-interface-summary',['ID', 'getCode()', 'getScope() → JSON', 'Строка равна code'],$rows,$checks,$runtime,$details);
echo 'mongodb128-safe-interface-summary: OK
';

mongodb128-safe-interface-summary: OK

Открыть фактическую таблицу и промежуточные значения · Данные результата JSON

Упражнение с направлением решения. Дополните просмотрщик отдельным полем has_scope, вычисленным через getScope()!==null. Сохраните различие отсутствующего и пустого scope. Перенос старого правила в новую явную модель проверяйте отдельно по смыслу, а не поиском строки "return".

Javascript: класс, интерфейс и все методы

Справочник ниже охватывает класс Javascript, JavascriptInterface и их восемь методов. Это описание типа данных и операций просмотра; оно не предлагает исполнять полученные строки. Каждый контракт связан с двумя применениями в полных программах этой главы.

От понятного входа к нужному результату

Для формы сначала определите допустимые имена, типы и диапазоны. Затем самостоятельно соберите фильтр, проекцию, сортировку и предел выдачи; ограничение доступа включите в запрос. Для расчёта используйте разрешённые выражения, а старые BSON-правила показывайте как текст и параметры. Результат должен быть именно тем, что сейчас нужно экрану или следующему шагу сервиса.

Дальше: буквальная строка и регулярное выражение, индексы и ограниченная выдача, отчёты aggregation, числа и деньги, специальные BSON-значения. Список API расположен в дереве справочника.