Bcrypt compareSync返回错误结果，Express中间件始终返回401

你的中间件始终返回401的核心原因是bcrypt的使用逻辑完全颠倒，具体问题及修复方案如下：

错误逻辑分析 #

1. 你先对用户传入的token做哈希（bcrypt.hashSync(token, 10)），再用环境变量里的密码和这个全新生成的哈希做对比（bcrypt.compareSync(process.env.UNIVERSAL_FS_PASSWORD, hash)）
2. bcrypt的compareSync方法正确用法是：第一个参数是明文，第二个参数是已存储的哈希值，用来验证明文是否匹配哈希。你的写法相当于拿原密码去匹配随机生成的新哈希，必然不匹配。

修复方案 #

推荐方案（环境变量存储哈希后的密码） #

先提前用bcrypt生成密码的哈希值，将哈希值存入UNIVERSAL_FS_PASSWORD环境变量，再修改中间件：

app.use((req, res, next) => {
  if (!process.env.UNIVERSAL_FS_PASSWORD) {
    return res.status(401).json({
      success: false,
      error: "An environment variable UNIVERSAL_FS_PASSWORD is required to protect your files",
    });
  }

  if (!req.headers.authorization) {
    return res.status(401).json({
      success: false,
      error: "An Authorization header is required",
    });
  }

  const token = (req.headers.authorization as string).replace(/^Bearer\s/, "");
  // 直接用用户传入的明文token，和环境变量里的哈希值对比
  if (!bcrypt.compareSync(token, process.env.UNIVERSAL_FS_PASSWORD)) {
    return res.status(401).json({
      success: false,
      error: "Unauthorized request",
    });
  }

  next();
});

临时方案（不推荐：环境变量存储明文密码） #

若必须在环境变量中存储明文密码，需提前预哈希并缓存（避免每次请求重复哈希影响性能）：

// 服务启动时预哈希明文密码，仅执行一次
const cachedPasswordHash = bcrypt.hashSync(process.env.UNIVERSAL_FS_PASSWORD, 10);

app.use((req, res, next) => {
  if (!process.env.UNIVERSAL_FS_PASSWORD) {
    return res.status(401).json({
      success: false,
      error: "An environment variable UNIVERSAL_FS_PASSWORD is required to protect your files",
    });
  }

  if (!req.headers.authorization) {
    return res.status(401).json({
      success: false,
      error: "An Authorization header is required",
    });
  }

  const token = (req.headers.authorization as string).replace(/^Bearer\s/, "");
  // 用用户的token和预生成的哈希对比
  if (!bcrypt.compareSync(token, cachedPasswordHash)) {
    return res.status(401).json({
      success: false,
      error: "Unauthorized request",
    });
  }

  next();
});

关键注意事项 #

• 永远不要在环境变量或数据库中存储明文密码，必须存储bcrypt生成的哈希值，这是基础安全规范。
• 高并发场景建议改用异步的bcrypt.hash()和bcrypt.compare()方法，避免同步方法阻塞事件循环。

内容的提问来源于stack exchange，提问作者Ethan