如何解决Strapi中Encryptable Field插件唯一字段加密重复问题？

问题原因 #

Encryptable Field插件默认采用带随机初始化向量（IV）的对称加密算法（如AES-GCM），相同明文每次加密会生成不同密文。数据库的唯一约束针对存储的密文生效，因此无法识别相同的明文内容，导致重复记录被插入。

解决方案 #

方案1：启用确定性加密（若插件支持） #

部分版本的Encryptable Field插件支持配置确定性加密模式，相同明文生成固定密文，让数据库唯一约束直接生效。修改字段配置，在options中添加deterministic: true：

"username": {
  "type": "customField",
  "options": {
    "hint": null,
    "deterministic": true
  },
  "customField": "plugin::encryptable-field.encryptable-field",
  "unique": true,
  "configurable": false,
  "required": true
},
"email": {
  "type": "customField",
  "options": {
    "hint": null,
    "deterministic": true
  },
  "customField": "plugin::encryptable-field.encryptable-field",
  "unique": true,
  "configurable": false,
  "required": true
}

注意：确定性加密存在安全风险，相同明文会暴露相同密文，可能被字典攻击破解，需根据业务场景权衡使用。

方案2：通过生命周期钩子手动校验唯一性 #

在模型的生命周期钩子中，提前校验明文对应的记录是否存在，阻止重复插入/更新。以内置用户权限插件的用户模型为例，创建src/extensions/users-permissions/content-types/user/lifecycles.js：

module.exports = {
  // 创建前校验
  async beforeCreate(event) {
    const { username, email } = event.params.data;
    const existingRecord = await strapi.db.query('plugin::users-permissions.user').findOne({
      where: {
        $or: [
          { username },
          { email }
        ]
      }
    });
    if (existingRecord) {
      throw new Error('用户名或邮箱已存在');
    }
  },
  // 更新前校验（排除当前记录）
  async beforeUpdate(event) {
    const { username, email } = event.params.data;
    const currentId = event.params.where.id;
    const queryConditions = [];
    if (username) queryConditions.push({ username });
    if (email) queryConditions.push({ email });
    
    if (queryConditions.length > 0) {
      const existingRecord = await strapi.db.query('plugin::users-permissions.user').findOne({
        where: {
          $and: [
            { id: { $ne: currentId } },
            { $or: queryConditions }
          ]
        }
      });
      if (existingRecord) {
        throw new Error('用户名或邮箱已存在');
      }
    }
  }
};

方案3：新增哈希字段实现唯一约束 #

为需要唯一约束的加密字段新增对应的哈希字段，利用哈希值的确定性（相同明文生成固定哈希）实现唯一约束，同时保留加密的随机性：

1. 修改模型配置，新增哈希字段：

"username_hash": {
  "type": "string",
  "unique": true,
  "configurable": false,
  "private": true
},
"email_hash": {
  "type": "string",
  "unique": true,
  "configurable": false,
  "private": true
}

2. 在生命周期钩子中生成哈希值：

const crypto = require('crypto');

module.exports = {
  async beforeCreate(event) {
    const { username, email } = event.params.data;
    // 生成SHA-256哈希
    event.params.data.username_hash = crypto.createHash('sha256').update(username).digest('hex');
    event.params.data.email_hash = crypto.createHash('sha256').update(email).digest('hex');
  },
  async beforeUpdate(event) {
    const { username, email } = event.params.data;
    if (username) {
      event.params.data.username_hash = crypto.createHash('sha256').update(username).digest('hex');
    }
    if (email) {
      event.params.data.email_hash = crypto.createHash('sha256').update(email).digest('hex');
    }
  }
};

这种方法安全性更高，哈希值不可逆，即使泄露也不会暴露明文，同时能有效保证字段唯一性。

内容的提问来源于stack exchange，提问作者Alexandre Paiva