如何编写/保护客户编写他们自己的MongoDB查询的API

我想公开一个客户端可以search对象的API。 我使用mongoose来描述对象并与它们进行交互。 我希望searchAPI尽可能通用。 用户只能从集合中读取。

如何在客户端可以在JSON中传递查询的情况下实现（安全）API？

我可以只将用户查询传递给find()方法吗？ 如果不是，我该怎么考虑？

提前谢谢了！