Strapi v4获取用户密码哈希实现登录验证的方法问询

针对你遇到的问题，以下是几种安全可行的实现方式：

方案1：扩展Users-Permissions插件的用户控制器 #

Strapi默认会隐藏用户的password字段，你可以通过扩展插件的控制器来创建自定义方法，安全获取密码哈希或实现自定义登录逻辑。

步骤1：创建扩展控制器文件 #

在项目根目录下新建src/extensions/users-permissions/controllers/User.js，写入以下代码：

const { createCoreController } = require('@strapi/strapi').factories;

module.exports = createCoreController('plugin::users-permissions.user', ({ strapi }) => ({
  // 获取指定用户的密码哈希（仅允许自身访问）
  async getPasswordHash(ctx) {
    const targetUserId = parseInt(ctx.params.id);
    const currentUserId = ctx.state.user.id;

    // 权限校验：仅允许用户查询自己的密码哈希
    if (targetUserId !== currentUserId) {
      return ctx.forbidden('无权访问该用户的密码哈希');
    }

    // 直接查询数据库获取密码哈希
    const user = await strapi.db.query('plugin::users-permissions.user').findOne({
      where: { id: targetUserId },
      select: ['password'],
    });

    if (!user) {
      return ctx.notFound('用户不存在');
    }

    return { passwordHash: user.password };
  },

  // 自定义登录接口，内置密码验证逻辑
  async customLogin(ctx) {
    const { identifier, password } = ctx.request.body;

    // 通过邮箱/用户名查询用户，包含密码哈希
    const user = await strapi.db.query('plugin::users-permissions.user').findOne({
      where: {
        $or: [
          { email: identifier },
          { username: identifier }
        ]
      },
      select: ['id', 'password', 'email', 'username'],
    });

    if (!user) {
      return ctx.badRequest('无效的登录凭证');
    }

    // 复用Strapi内置的密码验证方法，确保与注册时的哈希逻辑一致
    const isValidPassword = await strapi.plugins['users-permissions'].services.user.validatePassword(password, user.password);
    if (!isValidPassword) {
      return ctx.badRequest('无效的登录凭证');
    }

    // 生成JWT令牌
    const jwtToken = strapi.plugins['users-permissions'].services.jwt.issue({ id: user.id });

    // 返回用户信息（不包含密码哈希）和令牌
    return {
      jwt: jwtToken,
      user: {
        id: user.id,
        email: user.email,
        username: user.username,
        // 添加其他需要返回的用户字段
      }
    };
  }
}));

步骤2：配置自定义路由 #

新建src/extensions/users-permissions/routes/custom.js，添加路由配置：

module.exports = {
  routes: [
    {
      method: 'GET',
      path: '/users/:id/password-hash',
      handler: 'user.getPasswordHash',
      config: {
        policies: ['plugins::users-permissions.isAuthenticated'], // 需要登录才能访问
      }
    },
    {
      method: 'POST',
      path: '/auth/custom-login',
      handler: 'user.customLogin',
      config: {
        auth: false, // 登录接口无需提前认证
      }
    }
  ]
};

步骤3：重启Strapi #

完成后重启Strapi服务，即可通过以下接口使用：

• GET /api/users/{id}/password-hash：登录用户只能查询自己的密码哈希
• POST /api/auth/custom-login：自定义登录接口，内部完成密码验证并返回JWT

方案2：直接调用Strapi内置的密码验证服务 #

如果你不需要获取密码哈希，只是要验证密码的正确性，可以直接调用Strapi Users-Permissions插件的内置服务，无需手动执行bcrypt.compare：

// 在自定义控制器/服务中使用
async validateUserPassword(identifier, password) {
  // 先通过标识符查询用户（默认不会返回密码字段，需手动指定）
  const user = await strapi.db.query('plugin::users-permissions.user').findOne({
    where: {
      $or: [
        { email: identifier },
        { username: identifier }
      ]
    },
    select: ['password'],
  });

  if (!user) return false;

  // 调用内置验证方法
  return await strapi.plugins['users-permissions'].services.user.validatePassword(password, user.password);
}

方案3：修改用户模型权限（不推荐） #

不建议直接修改用户模型的password字段权限，这会导致所有查询用户的接口都可能返回密码哈希，存在严重安全风险。如果一定要尝试，可以修改src/extensions/users-permissions/models/User.settings.json中password字段的private属性为false，但务必做好全局权限控制。

重要安全提示 #

• 密码哈希绝对不能随意返回给前端，必须严格限制访问权限
• 优先复用Strapi内置的密码验证逻辑，避免手动调用bcrypt导致哈希不一致
• 自定义接口必须添加权限校验，防止越权访问其他用户的敏感信息

内容的提问来源于stack exchange，提问作者Andrey Shaposhnikov