Express — route, params, query আর router

১ · Raw node:http থেকে framework-এ কেন

পর্ব ২৪-এ আপনি server নিজের হাতে বানিয়েছেন। node:http আপনাকে দেয় একটি ফাংশন, যেটি প্রতিটি request-এ চলে। বাকি সব আপনার দায়িত্ব। “বাজারঘর”-এর মাত্র দুটি ঠিকানা হাতে লিখলে কেমন দেখায়, দেখুন।

const server = http.createServer((req, res) => {
  const url = new URL(req.url, "http://localhost");

  if (req.method === "GET" && url.pathname === "/api/products") {
    res.writeHead(200, { "Content-Type": "application/json" });
    return res.end(JSON.stringify(products));
  }

  const match = url.pathname.match(/^\/api\/products\/(\d+)$/);
  if (req.method === "GET" && match) {
    // id বের করা, খোঁজা, না পেলে 404, পেলে আবার writeHead ...
  }

  // POST হলে body টুকরো টুকরো জমানো, JSON.parse, তার ভুল ধরা ...
  res.writeHead(404);
  res.end();
});

কোড ভুল নয়। সমস্যা হলো বৃদ্ধি। পঞ্চাশটি ঠিকানা হলে এটি একটি লম্বা if-এর সিঁড়ি, যেখানে প্রতিটি ধাপে একই কাজ বারবার লেখা। Express এই বারবার লেখা কাজগুলো নিজের কাঁধে নেয়। সে কোনো জাদু নয়, node:http-এর ওপর একটি পাতলা স্তর। ভেতরে সেই একই createServer চলে।

Framework-এর দামও আছে: একটি বাড়তি dependency, তার version বদল, আর কিছু নিয়ম যেগুলো আপনি লেখেননি অথচ মানতে হয়। এই পর্বের অর্ধেকটাই সেই নিয়ম জানার জন্য। তবে একটি বা দুটি ঠিকানার ছোট কাজে framework না নিলেও চলে। কেন framework লাগে তার বড় আলোচনা আছে পর্ব ০১-এ।

২ · Express 5 — ইনস্টল, প্রথম server আর যা বদলেছে

লেখার সময়ে npm view express version দেখায় 5.3.0. Express 5 চায় Node.js 18 বা তার বেশি। পর্ব ০৫-এর মতো একটি নতুন ফোল্ডারে শুরু করি। এটি এই পর্বের জন্য চালানো সত্যিকারের run, Node 24 আর Express 5.3.0-এ।

$ mkdir bazarghar-api && cd bazarghar-api
$ npm init -y
$ npm pkg set type=module
$ npm install express

added 65 packages, and audited 66 packages in 3s
found 0 vulnerabilities

import express from "express";

const app = express();
const PORT = Number(process.env.PORT ?? 3000);

app.get("/", (req, res) => {
  res.send("Bazarghar API is running");
});

app.listen(PORT, "127.0.0.1", (error) => {
  if (error) throw error;
  console.log(`listening on http://127.0.0.1:${PORT}`);
});

একটি terminal-এ node server.js চালিয়ে অন্যটিতে curl দিয়ে ডাকুন। সত্যিকারের run-এ একটি আলাদা port ব্যবহার করা হয়েছিল। পড়ার সুবিধায় এই পর্বের সব transcript-এ 3000 লেখা হলো, বাকি সবকিছু হুবহু। -i দিলে header-ও দেখা যায়।

$ curl -i localhost:3000/
HTTP/1.1 200 OK
X-Powered-By: Express
Content-Type: text/html; charset=utf-8
Content-Length: 24
ETag: W/"18-Gt1SeND5MlxOThw+hbRxxDLS1EE"
Date: Sun, 01 Nov 2026 16:36:31 GMT
Connection: keep-alive

Bazarghar API is running

তিন লাইনের কোডে Express নিজে থেকেই status, Content-Type, Content-Length আর একটি ETag বসিয়েছে। app.listen-এর তৃতীয় argument লক্ষ করুন। Express 5-এ EADDRINUSE-এর মতো ভুল এই callback-এ আসে। তাই error না দেখলে port আটকে থাকলেও server “চলছে” বলে মনে হতে পারে।

Express 4-এর অভ্যাস যেগুলো এখন ভাঙে

পুরোনো টিউটোরিয়াল আর AI-এর লেখা অনেক কোড Express 4-এর। অফিসিয়াল migration গাইড মিলিয়ে নিচের প্রতিটি সারি আমরা নিজে চালিয়ে দেখেছি। প্রথম চারটি সারি সবচেয়ে বিপজ্জনক দুই ধরনের: কিছু ভুল server শুরুর সময়েই থামিয়ে দেয়, আর কিছু ভুল কোনো error ছাড়াই চুপচাপ ভুল ফল দেয়।

Regex বাদ পড়ল কেন? কারণটি নিরাপত্তা। খারাপভাবে লেখা regex কিছু ইনপুটে বিপুল সময় নিতে পারে, যাকে বলে ReDoS. Express 5 নিচের path-to-regexp library বদলে সেই পথ সংকুচিত করেছে। আমাদের project-এ এর version ছিল 8.4.2. তাই /:id(\d+) লেখার বদলে id-র ধরন handler-এ বা validation স্তরে যাচাই করা হয়।

Wildcard আর ঐচ্ছিক অংশের সত্যিকারের ফল দেখুন। Wildcard-এর মান একটি array, string নয়। আর catch-all ছাড়া মেলেনি এমন ঐচ্ছিক param-এর key-ই থাকে না।

app.get("/files/*path", …)        GET /files/a/b.png   {"path":["a","b.png"]}
app.get("/docs{/:slug}", …)       GET /docs            {}
                                  GET /docs/intro      {"slug":"intro"}
app.get("/img/:file{.:ext}", …)   GET /img/photo       {"file":"photo"}
                                  GET /img/photo.png   {"file":"photo","ext":"png"}

৩ · Route — method আর path-এর জোড়া

একটি route তিনটি জিনিস একসাথে বাঁধে: HTTP method, path, আর একটি ফাংশন। সেই ফাংশনকে বলে route handler. Handler পায় দুটি বস্তু: req (যা এসেছে) আর res (যা পাঠাবেন)।

app.get("/api/products", listProducts);        // পড়া
app.get("/api/products/:id", getProduct);      // একটি পড়া
app.post("/api/products", createProduct);      // নতুন তৈরি
app.put("/api/products/:id", replaceProduct);  // পুরোটা বদল
app.patch("/api/products/:id", updateProduct); // কিছু অংশ বদল
app.delete("/api/products/:id", removeProduct);// মুছে ফেলা

একই path, ভিন্ন method মানে ভিন্ন route. এই সারিগুলোই মিলে একটি CRUD endpoint-এর সেট: Create, Read, Update, Delete. একই path বারবার না লিখতে চাইলে app.route("/api/products/:id").get(…).put(…) লেখা যায়।

Express-এর ভেতরে এই route-গুলো কীভাবে মেলে? সেটি বুঝতে নিজেই একটি ছোট router বানিয়ে দেখি। নিচের কোড আসল Express নয়, শেখার জন্য বানানো একটি মডেল, কারণ এই পাতায় Express import করা যায় না। ধারণাটি কিন্তু একই: path থেকে regex, তালিকায় একে একে মেলানো, আর param-গুলো req.params-এ বসানো।

// শেখার মডেল: আসল Express নয়, ভেতরের ধারণার ছোট রূপ
const http = require("node:http");
const routes = [];
function add(method, path, handler) {
  const names = [];
  const src = path.replace(/:(\w+)/g, (_, name) => { names.push(name); return "([^/]+)"; });
  routes.push({ method, re: new RegExp(`^${src}/?$`), names, handler });
}
add("GET", "/api/products", (req, res) => res.json({ list: "all" }));
add("GET", "/api/products/:id", (req, res) => res.json(req.params));
add("GET", "/api/orders/:oid/items/:iid", (req, res) => res.json(req.params));

const server = http.createServer((req, res) => {
  res.json = (data, code = 200) => {
    res.writeHead(code, { "Content-Type": "application/json" });
    res.end(JSON.stringify(data));
  };
  const { pathname } = new URL(req.url, "http://localhost");
  for (const r of routes) {
    const m = pathname.match(r.re);
    if (m && r.method === req.method) {
      req.params = Object.fromEntries(r.names.map((n, i) => [n, m[i + 1]]));
      return r.handler(req, res);
    }
  }
  res.json({ error: "no route" }, 404);
});
server.listen(0, "127.0.0.1", async () => {
  const base = `http://127.0.0.1:${server.address().port}`;
  for (const p of ["/api/products", "/api/products/7", "/api/orders/3/items/9", "/api/carts"]) {
    const r = await fetch(base + p);
    console.log(r.status, p, await r.text());
  }
  server.close();
});

৪ · ডেটা আসে তিন জায়গা থেকে — params, query আর body

Params — সব string, আর Number()-এর ছোট ফাঁদ

পর্ব ২০-এ browser-এ route params দেখেছেন। Server-এও একই ধারণা। সবচেয়ে সাধারণ ভুলটি হলো p.id === req.params.id লেখা। ডানে string "2", বাঁয়ে সংখ্যা 2, তাই কখনোই মিলবে না, আর প্রতিটি পণ্য 404 দেবে। সমাধান Number(req.params.id). তবে এই রূপান্তরও পুরো পাহারা নয়। আমাদের run-এ "2.0", "02" আর "2e0" তিনটিই 2 হয়ে পণ্য ২-ই খুঁজে পেয়েছে। আর Number("abc") হলো NaN, যা কোনো কিছুর সমান নয়, তাই ফল 404. কড়া যাচাই পর্ব ২৭-এর কাজ, সেখানে Zod আসবে।

Query string — URL যা দিচ্ছে আর দিচ্ছে না

Query string-এর সব মানও string. না থাকলে পাবেন null বা undefined. Express ছাড়াই browser আর Node-এর নিজস্ব URL দিয়ে এটি পরখ করে দেখুন।

const link = "/api/products?q=%E0%A6%9A%E0%A6%BE%E0%A6%B2&maxPrice=300&tag=new&tag=sale&page=abc";
const url = new URL(link, "http://localhost");
const p = url.searchParams;

console.log("path    :", url.pathname);
console.log("q       :", p.get("q"));
console.log("maxPrice:", p.get("maxPrice"), typeof p.get("maxPrice"));
console.log("tag     :", p.get("tag"), p.getAll("tag"));
console.log("color   :", p.get("color"));

// সংখ্যা চাইলে নিজেকেই বদলাতে হয়, আর ভুলটাও ধরতে হয়
console.log("Number(page):", Number(p.get("page")));
console.log("Number(null):", Number(p.get("color")));

function pageNumber(text, fallback = 1) {
  const n = Number(text);
  return Number.isInteger(n) && n >= 1 ? n : fallback;
}
console.log(["2", "abc", "-1", "2.5", null].map((t) => pageNumber(t)));

// উল্টো দিক: বস্তু থেকে নিরাপদ query string
const qs = new URLSearchParams({ q: "চাল ডাল", maxPrice: 300 });
console.log(qs.toString());

Express 5-এ req.query-র চেহারা প্রায় একই, তবে ডিফল্ট parser “simple”. আমাদের run-এর ফল দেখুন। পুনরাবৃত্ত key array হয়, কিন্তু বন্ধনীর লেখা আর nested object হয় না। Express 4-এ extended ছিল ডিফল্ট। দরকার হলে app.set("query parser", "extended") লেখা যায়, তবে ব্যবহারকারীর URL থেকে nested object বানানো মানে আক্রমণের জায়গা বাড়ানো, তাই ডিফল্টেই থাকা ভালো।

GET /q?page=2&q=rice        {"page":"2","q":"rice"}
GET /q?tag=a&tag=b          {"tag":["a","b"]}
GET /q?filter[price]=100    {"filter[price]":"100"}
GET /q?q=miniket+rice       {"q":"miniket rice"}
GET /q                      {}

set("query parser","extended")
GET /q?filter[price]=100    {"filter":{"price":"100"}}

req.body — parser না বসালে খালি

Body একটি stream হিসেবে আসে। কেউ পড়ে JSON না বানানো পর্যন্ত req.body-তে কিছু থাকে না। সেই কাজ করে app.use(express.json()). Middleware-এর পুরো ব্যাখ্যা আছে পর্ব ২৬-এ। আপাতত এটুকুই: লাইনটি route-গুলোর আগে বসে। এটি ছাড়া আমাদের run-এ typeof req.body ছিল undefined, আর destructure করতেই 500:

TypeError: Cannot destructure property 'name' of 'req.body' as it is undefined.

এজন্য আমাদের কোডে req.body ?? {} লেখা। একটি কথা মনে রাখুন: express.json() শুধু Content-Type: application/json দেখলেই কাজ করে। curl-এ -H ভুলে গেলে req.body আবার ফাঁকা থাকবে। আর তিনটি ইনপুটের কোনোটিই বিশ্বাসযোগ্য নয়, কারণ সবই client পাঠায়। যাচাই ছাড়া database query-তে বসানোর বিপদ পড়ুন Injection প্রতিরোধ-এ।

৫ · উত্তর পাঠানো আর REST-এর status code

Handler-এর কাজ শেষ হয় একটি উত্তর পাঠিয়ে। উত্তর না পাঠালে client অপেক্ষা করতেই থাকে। কাজের ফাংশনগুলো কয়েকটিই। ডানের কলামের আচরণ আমাদের run থেকে নেওয়া।

res.status() নিজে কিছু পাঠায় না, শুধু সংখ্যাটি বসিয়ে res-কেই ফেরত দেয়। সেজন্যই শিকলের মতো লেখা যায়। Express 5 এখন এটি কড়াভাবে দেখে। res.status("201") দিলে TypeError: Invalid status code, আর res.status(99) দিলে RangeError.

REST: ঠিকানা হলো বিশেষ্য, কাজ বলে method

REST ধারণাটি আসে Roy Fielding-এর ২০০০ সালের গবেষণাপত্র থেকে। তার পূর্ণ তত্ত্ব আছে REST API নকশা-য়, আর এই কোর্সে পর্ব ৩২ ও ৩৩-এ আবার আসবে। এখন দরকার শুধু ব্যবহারিক অংশ: /api/products একটি resource (বিশেষ্য, বহুবচন), আর কী করবেন তা বলে method. /getProducts বা /deleteProduct?id=3 REST নয়।

4xx বলে দোষ client-এর দিকে, 5xx বলে server-এর দিকে। এই সীমারেখা নিয়ে মাঝেমধ্যে মতভেদ আছে, যেমন বিষয়বস্তু-ভিত্তিক ভুলে কেউ 400, কেউ 422 দেন। দলের ভেতরে একটি নিয়ম ঠিক করে সেটি মানাই আসল কথা। HTTP অংশের ভিত্তি পড়ুন HTTP পর্বে। পরের কোডে একটি পণ্যের পুরো জীবনচক্র চালিয়ে দেখুন, এখানেও Express নেই, কিন্তু status-এর নিয়ম একই।

const http = require("node:http");
const products = [{ id: 1, sku: "RICE-5KG", stock: 12 }];
let nextId = 2;
const server = http.createServer(async (req, res) => {
  let raw = "";
  for await (const chunk of req) raw += chunk;
  const body = raw ? JSON.parse(raw) : {};
  const send = (code, data) => { res.statusCode = code; res.end(data ? JSON.stringify(data) : undefined); };
  const id = Number(req.url.split("/")[2]);
  const i = products.findIndex((p) => p.id === id);
  if (req.method === "POST") {
    if (products.some((p) => p.sku === body.sku)) return send(409, { error: "sku exists" });
    const item = { id: nextId++, sku: body.sku, stock: body.stock };
    products.push(item);
    return send(201, item);
  }
  if (i === -1) return send(404, { error: "not found" });
  if (req.method === "GET") return send(200, products[i]);
  if (req.method === "PATCH") { products[i].stock = body.stock; return send(200, products[i]); }
  if (req.method === "DELETE") { products.splice(i, 1); return send(204); }
});
server.listen(0, "127.0.0.1", async () => {
  const call = async (method, path, data) => {
    const r = await fetch(`http://127.0.0.1:${server.address().port}${path}`, { method, body: data && JSON.stringify(data) });
    console.log(r.status, method, path, await r.text());
  };
  await call("POST", "/products", { sku: "OIL-1L", stock: 3 });
  await call("POST", "/products", { sku: "OIL-1L", stock: 9 });
  await call("GET", "/products/2");
  await call("PATCH", "/products/2", { stock: 1 });
  await call("DELETE", "/products/2");
  await call("DELETE", "/products/2");
  await call("GET", "/products/2");
  server.close();
});

1POST   /products    sku=OIL-1L stock=32POST   /products    sku=OIL-1L stock=93GET    /products/24PATCH  /products/2  stock=15DELETE /products/26DELETE /products/27GET    /products/2

৬ · Route order — যে আগে মেলে সে-ই জেতে

Express কোনো “সেরা মিল” খোঁজে না। পর্ব ২০-এর React Router route-কে নম্বর দিয়ে সবচেয়ে নির্দিষ্টটি বেছে নেয়, Express তা করে না। সে নিবন্ধনের ক্রমে একটি তালিকা ধরে ওপর থেকে নিচে হাঁটে, আর প্রথম যে route উত্তর দেয় সেখানেই থামে। ফলে একটি বিখ্যাত ফাঁদ তৈরি হয়। সত্যিকারের Express 5.3.0-তে চালানো ফল:

app.get("/api/products/:id", …);       // আগে
app.get("/api/products/featured", …);  // পরে

$ GET /api/products/featured
{ handler: ':id', id: 'featured' }

:id যেকোনো একটি অংশে মেলে, featured শব্দেও। তাই দ্বিতীয় route কখনোই চলে না। কোনো error নেই, কোনো warning নেই, শুধু Number("featured") থেকে NaN হয়ে একটি রহস্যময় 404. নিচের মডেলে দুই ক্রম পাশাপাশি দেখুন, আর কয়টি route পরীক্ষা হলো সেটিও গুনুন।

// শেখার মডেল: Express-এর মতোই যে route আগে মেলে, সে-ই জেতে
function toRegex(path) {
  return new RegExp("^" + path.replace(/:\w+/g, "[^/]+") + "/?$");
}
function firstMatch(routes, url) {
  let tried = 0;
  for (const path of routes) {
    tried++;
    if (toRegex(path).test(url)) return `${url} -> ${path} (${tried}টি পরীক্ষা)`;
  }
  return `${url} -> কোনো মিল নেই (${tried}টি পরীক্ষা)`;
}

const wrong = ["/products", "/products/:id", "/products/out-of-stock"];
const right = ["/products", "/products/out-of-stock", "/products/:id"];

for (const [name, routes] of [["ভুল ক্রম", wrong], ["ঠিক ক্রম", right]]) {
  console.log(name);
  for (const url of ["/products/out-of-stock", "/products/7", "/carts"]) {
    console.log("  " + firstMatch(routes, url));
  }
}

তালিকায় শুধু route থাকে না, middleware-ও থাকে। “বাজারঘর”-এর সত্যিকারের app.js-এ Express-এর ভেতরের তালিকা (app.router.stack) আমরা ছাপিয়ে দেখেছি, ৬টি স্তর আছে। এবার GET /api/products/2 সেই তালিকা ধরে কীভাবে হাঁটে দেখুন।

1app.use(express.json())2app.get("/health", ...)3app.use("/api/products", router)4    router.get("/", ...)5    router.get("/out-of-stock", ...)6    router.get("/:id", ...)7app.use("/api/orders", router)8app.get("/products", ...)9app.use(json 404)

আরও কয়েকটি মেলানোর নিয়ম (আমাদের run থেকে)

• বড়-ছোট হাতের অক্ষর আর শেষের /: ডিফল্টে /API/Products/1 আর /api/products/1/ দুটোই মেলে, 200 আসে। app.set("case sensitive routing", true) আর app.set("strict routing", true) দিলে এগুলো 404 দেয়।
• ভুল method-এ 405 নয়, 404: POST /api/products/1-এ শুধু GET আর DELETE route থাকলে Express দেয় 404, HTML-এ Cannot POST /api/products/1. HTTP-র হিসাবে 405 বেশি ঠিক, সেটি নিজে লিখতে হয় (অনুশীলন ৪ দেখুন)।
• HEAD আর OPTIONS বিনামূল্যে: GET route থাকলে HEAD নিজে থেকে কাজ করে। OPTIONS-এ Express Allow: DELETE, GET, HEAD ফেরত দিল।
• ভাঙা encoding: /p/%E0%A6 decode করা যায় না, তাই handler পর্যন্ত না গিয়েই 400 ফেরে।

৭ · express.Router — ফাইল ভাগ আর mount করা

সব route এক ফাইলে রাখলে কয়েকশো লাইনে পৌঁছাতে সময় লাগে না। express.Router হলো একটি “ছোট অ্যাপ”: তার নিজের route তালিকা আছে, কিন্তু সে নিজে কোনো port শোনে না। আপনি তাকে একটি prefix-এর নিচে mount করে দেন, আর তার ভেতরের path-গুলো prefix ছাড়া লেখা হয়।

এবার /api/products/7?color=red অনুরোধটি ধাপে ধাপে দেখুন। প্রতিটি মান সত্যিকারের run-এ handler থেকে ছাপানো।

url:         /api/products/7?color=red
originalUrl: /api/products/7?color=red

app.use("/api/products", productsRouter);

baseUrl:     /api/products
url:         /7?color=red
path:        /7
originalUrl: /api/products/7?color=red

route.path:  /:id
params:      { id: "7" }
query:       { color: "red" }

404 {"error":"no route for POST /api/products/2"}

৮ · “বাজারঘর”-এর products আর orders API

এবার সব জোড়া লাগাই। ডেটা থাকবে in-memory, মানে একটি সাধারণ JavaScript array-তে। Server বন্ধ হলেই সব মুছে যাবে। শুরুতে data.js-এ তিনটি পণ্য আছে: চাল, তেল আর চা-পাতা, যার মধ্যে চায়ের মজুদ শূন্য। মডিউল ৬-এ এর জায়গায় আসল database বসবে। ফোল্ডারের গঠন:

bazarghar-api/
  src/
    app.js              app তৈরি ও mount (listen নেই)
    server.js           শুধু app.listen
    data.js             products, orders array
    routes/
      products.js
      orders.js
  test/
    api.test.js

import express from "express";
import { productsRouter } from "./routes/products.js";
import { ordersRouter } from "./routes/orders.js";

export const app = express();

app.use(express.json());                     // req.body ভরে (পর্ব ২৬)

app.get("/health", (req, res) => res.json({ ok: true }));

app.use("/api/products", productsRouter);
app.use("/api/orders", ordersRouter);

// পুরোনো ঠিকানা, স্থায়ীভাবে সরে গেছে
app.get("/products", (req, res) => res.redirect(301, "/api/products"));

// কিছুই মেলেনি: HTML পাতা নয়, JSON উত্তর
app.use((req, res) => {
  res.status(404).json({ error: `no route for ${req.method} ${req.path}` });
});

app.listen ইচ্ছা করেই আলাদা ফাইলে। তাই test-এ port না খুলেই app ব্যবহার করা যায়। ডিফল্ট 404 হলো HTML পাতা (Cannot GET /nothing), আর API-র client সেটি JSON ভেবে পড়তে গেলে ভাঙে। শেষের লাইনটি এজন্যই। এটি অবশ্যই সবার শেষে বসে, কারণ এর পরে কোনো route লিখলে সেটি চলবে না।

import { Router } from "express";
import { db } from "../data.js";

export const productsRouter = Router();

function findProduct(idText) {
  const id = Number(idText);          // params সবসময় string
  return db.products.find((p) => p.id === id);
}

// GET /api/products?q=rice&maxPrice=300
productsRouter.get("/", (req, res) => {
  const { q, maxPrice } = req.query;
  let items = db.products;
  if (q) {
    const needle = String(q).toLowerCase();
    items = items.filter((p) => p.name.toLowerCase().includes(needle));
  }
  if (maxPrice !== undefined) {
    const max = Number(maxPrice);
    if (Number.isNaN(max)) {
      return res.status(400).json({ error: "maxPrice must be a number" });
    }
    items = items.filter((p) => p.price <= max);
  }
  res.json({ count: items.length, items });
});

// নির্দিষ্ট path, তাই /:id-এর আগে
productsRouter.get("/out-of-stock", (req, res) => {
  res.json(db.products.filter((p) => p.stock === 0));
});

productsRouter.get("/:id", (req, res) => {
  const product = findProduct(req.params.id);
  if (!product) return res.status(404).json({ error: "product not found" });
  res.json(product);
});

productsRouter.post("/", (req, res) => {
  const { sku, name, price, stock = 0 } = req.body ?? {};
  if (!sku || !name || typeof price !== "number") {
    return res.status(400).json({ error: "sku, name and numeric price are required" });
  }
  if (db.products.some((p) => p.sku === sku)) {
    return res.status(409).json({ error: `sku ${sku} already exists` });
  }
  const product = { id: db.nextProductId++, sku, name, price, stock };
  db.products.push(product);
  res.status(201).location(`/api/products/${product.id}`).json(product);
});

// PATCH: শুধু পাঠানো field বদলায়
productsRouter.patch("/:id", (req, res) => {
  const product = findProduct(req.params.id);
  if (!product) return res.status(404).json({ error: "product not found" });
  const { price, stock } = req.body ?? {};
  if (price !== undefined) product.price = price;
  if (stock !== undefined) product.stock = stock;
  res.json(product);
});

productsRouter.delete("/:id", (req, res) => {
  const index = db.products.findIndex((p) => p.id === Number(req.params.id));
  if (index === -1) return res.status(404).json({ error: "product not found" });
  db.products.splice(index, 1);
  res.status(204).end();
});

// PUT পুরো পণ্য বদলায়: সব field লাগে, নইলে 400

PATCH-এ price আর stock আলাদা করে তোলা হয়েছে, Object.assign(product, req.body) লেখা হয়নি। এখানে যাচাইটি ইচ্ছা করেই সংক্ষিপ্ত, পূর্ণ schema আছে পর্ব ২৭-এ। Order-এর route-টি এবার দেখুন, এখানে 409-এর আসল ব্যবসায়িক অর্থ আছে।

// POST /api/orders  { "productId": 2, "qty": 2 }
ordersRouter.post("/", (req, res) => {
  const { productId, qty } = req.body ?? {};
  if (!Number.isInteger(qty) || qty < 1) {
    return res.status(400).json({ error: "qty must be a positive integer" });
  }
  const product = db.products.find((p) => p.id === productId);
  if (!product) return res.status(404).json({ error: "product not found" });
  if (product.stock < qty) {
    return res.status(409).json({ error: "not enough stock", available: product.stock });
  }
  product.stock -= qty;
  const order = {
    id: db.nextOrderId++, productId, qty,
    total: product.price * qty, status: "placed",
  };
  db.orders.push(order);
  res.status(201).location(`/api/orders/${order.id}`).json(order);
});

লক্ষ করুন, দাম নেওয়া হচ্ছে server-এর ডেটা থেকে: product.price * qty. Client যদি total পাঠাত, যে কেউ ৳১ লিখে দিত। Handler-এ ব্যবসার নিয়ম ঢুকে পড়ছে, সেটিও দেখা যাচ্ছে। পর্ব ২৯-এ এটি service-এ সরানো হবে, পর্ব ০৪-এর fat controller সমস্যার কথা মনে করুন।

curl দিয়ে সত্যিকারের run

Express 5.3.0, Node 24. একই server-এ পরপর চালানো, শুধু লম্বা header ছেঁটে দেওয়া হয়েছে।

$ curl "localhost:3000/api/products?q=oil"
{"count":1,"items":[{"id":2,"sku":"OIL-1L","name":"Soybean oil 1L","price":190,"stock":3}]}

$ curl "localhost:3000/api/products?maxPrice=cheap"
{"error":"maxPrice must be a number"}

$ curl localhost:3000/api/products/out-of-stock
[{"id":3,"sku":"TEA-400G","name":"Tea leaves 400g","price":260,"stock":0}]

$ curl -i -X POST localhost:3000/api/products -H "Content-Type: application/json" \
       -d '{"sku":"SALT-1KG","name":"Salt 1kg","price":42,"stock":10}'
HTTP/1.1 201 Created
Location: /api/products/4
Content-Type: application/json; charset=utf-8
Content-Length: 65
ETag: W/"41-dQXfm0vfu10bLxNf/8aOv+lCTys"
…
{"id":4,"sku":"SALT-1KG","name":"Salt 1kg","price":42,"stock":10}

$ curl -i -X POST localhost:3000/api/products -H "Content-Type: application/json" \
       -d '{"sku":"SALT-1KG","name":"Salt again","price":45}'
HTTP/1.1 409 Conflict
…
{"error":"sku SALT-1KG already exists"}

$ curl -X PATCH localhost:3000/api/products/4 -H "Content-Type: application/json" \
       -d '{"price":40}'
{"id":4,"sku":"SALT-1KG","name":"Salt 1kg","price":40,"stock":10}

$ curl -X PUT localhost:3000/api/products/4 -H "Content-Type: application/json" \
       -d '{"sku":"SALT-1KG","name":"Salt 1kg","price":44,"stock":8}'
{"id":4,"sku":"SALT-1KG","name":"Salt 1kg","price":44,"stock":8}

$ curl -i -X DELETE localhost:3000/api/products/4
HTTP/1.1 204 No Content
…

$ curl -i -X POST localhost:3000/api/orders -H "Content-Type: application/json" \
       -d '{"productId":2,"qty":2}'
HTTP/1.1 201 Created
Location: /api/orders/1
…
{"id":1,"productId":2,"qty":2,"total":380,"status":"placed"}

$ curl -i -X POST localhost:3000/api/orders -H "Content-Type: application/json" \
       -d '{"productId":2,"qty":5}'
HTTP/1.1 409 Conflict
…
{"error":"not enough stock","available":1}

$ curl -i localhost:3000/products
HTTP/1.1 301 Moved Permanently
Location: /api/products
…
Moved Permanently. Redirecting to /api/products

হিসাব মিলিয়ে নিন: তেলের দাম ১৯০ টাকা, ২টি অর্ডারে total ৩৮০। শুরুতে মজুদ ছিল ৩, ২টি যাওয়ার পর ১, তাই ৫টির অর্ডারে available: 1.

৯ · supertest দিয়ে যাচাই, আর অন্য framework

প্রতিবার হাতে curl চালানো টেকে না। supertest আপনার app-কে নিজে একটি সাময়িক port-এ চালায়, অনুরোধ পাঠায়, উত্তর মেলায়। এখানে Node-এর নিজস্ব node:test ব্যবহার করা হলো, যাতে বাড়তি কিছু না লাগে। Vitest আসবে পর্ব ৭৩-এ, আর test database-সহ পূর্ণ API test পর্ব ৭৫-এ। লেখার সময়ে supertest-এর version 7.3.1.

npm install -D supertest

import { test } from "node:test";
import assert from "node:assert/strict";
import request from "supertest";
import { app } from "../src/app.js";

test("the query string filters by price", async () => {
  const res = await request(app).get("/api/products?maxPrice=200").expect(200);
  assert.deepEqual(res.body.items.map((p) => p.sku), ["OIL-1L"]);
});

test("the fixed path is not swallowed by /:id", async () => {
  const res = await request(app).get("/api/products/out-of-stock").expect(200);
  assert.equal(res.body[0].sku, "TEA-400G");
});

test("POST creates a product, a second POST conflicts", async () => {
  const body = { sku: "SALT-1KG", name: "Salt 1kg", price: 42, stock: 10 };
  const first = await request(app).post("/api/products").send(body).expect(201);
  assert.equal(first.headers.location, `/api/products/${first.body.id}`);
  await request(app).post("/api/products").send(body).expect(409);
});

// আরও আছে: GET তালিকা, DELETE, আর order-এর 409

$ npm test

> node --test

✔ GET /api/products lists the seed data (21.1732ms)
✔ the query string filters by price (6.3497ms)
✔ the fixed path is not swallowed by /:id (2.3642ms)
✔ POST creates a product, a second POST conflicts (10.5048ms)
✔ DELETE returns 204, then the product is gone (3.7246ms)
✔ an order takes stock, then a large order gets 409 (4.1256ms)
ℹ tests 6
ℹ pass 6
ℹ fail 0
ℹ duration_ms 229.2764

দ্বিতীয় test-টি মূল্যবান। কেউ পরে /out-of-stock route-কে /:id-এর নিচে সরালে এটিই ব্যর্থ হয়ে route order-এর ফাঁদ ধরবে। তবে একটি দুর্বলতাও আছে: সব test একই db array ভাগ করে, তাই test-এর ক্রম বদলালে ফল বদলাতে পারে। পর্ব ৭৫-এ প্রতিটি test-এর জন্য পরিষ্কার ডেটা নিশ্চিত করা হবে। Test-এর তত্ত্ব পড়ুন Test pyramid ও integration-এ।

Express ছাড়া আর কী আছে

এগুলো ভালো বিকল্প, তবে কোনটি “সেরা” তা প্রজেক্ট আর দলের ওপর নির্ভর করে। এই কোর্সে Express নেওয়া হয়েছে কারণ এর ধারণা অন্যগুলোতেও কাজে লাগে, আর উদাহরণ, library ও পুরোনো কোড প্রচুর পাওয়া যায়। অন্যের benchmark দেখে সিদ্ধান্ত না নিয়ে নিজের কাজে মেপে দেখুন। Stack বাছাইয়ের ছক আসবে পর্ব ৮৫-এ।

১০ · AI-এর যুগে — Express কোড যাচাই

Express নিয়ে AI-এর সবচেয়ে বড় ঝুঁকি হলো পুরোনো স্মৃতি। ইন্টারনেটের বেশিরভাগ Express কোড version 4-এর, আর AI সেখান থেকেই শিখেছে। কিছু ভুল server শুরুতেই ধরা পড়ে। অন্যগুলো, যেমন res.json(obj, 201), কোনো শব্দ না করে ভুল status পাঠায়। আর “চলছে” দেখে নিশ্চিন্ত হলে সবচেয়ে বিপজ্জনক ভুলটি থেকে যায়।

এই লেখার Object.assign-এর ঘটনাটি API নিরাপত্তা-র একটি পরিচিত দুর্বলতা। “কে কার ডেটা ছুঁতে পারে” প্রশ্নটি পড়ুন Broken access control-এ।

AI-এর লেখা route হাতে পেলে — যাচাইয়ের চেকলিস্ট

• package.json-এ Express-এর version দেখে সেই version-এর ডক মিলিয়েছি
• Server চালিয়েছি, আর সফল ও ব্যর্থ দুই পথেই curl -i দিয়ে status দেখেছি
• নির্দিষ্ট path, param-ওয়ালা path-এর আগে আছে, catch-all সবার শেষে
• প্রতিটি আগাম উত্তরে return আছে
• req.body পুরোটা সরাসরি কোথাও বসছে না, দাম আর মোট server-এ হিসাব হচ্ছে
• প্রতিটি লেখার route-এ জিজ্ঞেস করেছি: কে এটি ডাকতে পারে?
• নতুন package সত্যিই আছে কি না, আর সত্যিই দরকার কি না দেখেছি; কোডে কোনো secret নেই
• অন্তত একটি supertest test লিখেছি, যা ভুল কোডে ব্যর্থ হয়