更新密码后Bcrypt.compareSync验证失败问题排查

1. 检查密码重置时是否触发哈希中间件 #

Mongoose的pre('save')中间件仅在调用save()方法时触发，若重置密码时使用findByIdAndUpdate、updateOne这类直接更新数据库的方法，不会触发该中间件，导致明文密码直接存入数据库，后续验证必然失败。

解决方法：

• 重置密码时先查询用户实例，修改密码后调用save()：

async forgotPassword(req: Request, res: Response) {
  const user = await User.findById(req.params.id);
  if (!user) { /* 处理用户不存在逻辑 */ }
  user.password = req.body.newPassword;
  await user.save(); // 触发pre('save')中间件哈希密码
  res.send('密码重置成功');
}

2. 检查checkPassword方法的参数顺序 #

bcrypt的compareSync要求第一个参数是明文密码，第二个是数据库中的哈希密码，参数顺序传反会直接返回false。

错误示例：

userSchema.methods.checkPassword = function (password: string, hashedPassword: string) {
  return bcrypt.compareSync(hashedPassword, password); // 顺序颠倒
};

正确写法：

userSchema.methods.checkPassword = function (password: string, hashedPassword: string) {
  return bcrypt.compareSync(password, hashedPassword);
};

3. 检查pre('save')中间件的逻辑 #

确保中间件在密码修改时重新哈希，而非仅在创建用户时执行。避免因判断条件错误导致更新密码时跳过哈希：

错误示例（仅新用户哈希）：

userSchema.pre('save', function (next) {
  if (this.isNew) { // 仅创建新用户时哈希，更新密码时跳过
    this.password = bcrypt.hashSync(this.password, 10);
  }
  next();
});

正确逻辑（密码修改时哈希）：

userSchema.pre('save', function (next) {
  if (this.isModified('password')) { // 密码字段变动时触发哈希
    this.password = bcrypt.hashSync(this.password, 10);
  }
  next();
});

4. 避免重置密码时重复哈希 #

若重置密码时手动哈希了密码，又触发pre('save')再次哈希，会导致数据库存储的是“哈希的哈希”，验证必然失败。

错误示例：

async forgotPassword(req: Request, res: Response) {
  const hashedPwd = bcrypt.hashSync(req.body.newPassword, 10);
  await User.findByIdAndUpdate(req.params.id, { password: hashedPwd });
  // 叠加pre('save')的哈希操作，最终存储的是hash(hashedPwd)
}

解决方法：去掉手动哈希步骤，让中间件统一处理密码哈希。

内容的提问来源于stack exchange，提问作者Sanket Sharma