如何编写/保护客户端编写自己的MongoDB查询的API

Question

我想公开客户端可以搜索对象的API。我使用mongoose来描述对象并与它们进行交互。 我希望搜索API尽可能通用。用户应该只能从集合中读取。

如何实现（安全）API，客户端可以在JSON中传递查询？

我可以将用户查询传递给find()方法吗？如果没有，我该怎么做呢？

非常感谢提前！