Node.js/MySQL用户验证难题：含盐SHA1密码校验困惑

核心问题分析 #

你当前的验证代码直接对明文密码执行SHA1()加密，但数据库中存储的是加盐后的SHA1值，两者加密逻辑不一致，导致验证失败。

可能的解决方案 #

1. 确认盐的存储位置与加盐规则 #

你的Operator实体包含hash字段，结合密码存储逻辑，这个字段大概率用于存储每个用户的独立盐值（而非密码哈希）。需要先明确加盐的拼接规则：

• 是「盐 + 明文密码」后执行SHA1？
• 还是「明文密码 + 盐」后执行SHA1？
• 亦或是整个系统共用一个固定盐值？

2. 对应MySQL验证逻辑 #

情况A：每个用户有独立盐（存储在hash字段）

可以通过单条SQL完成验证，也可以先查询盐值再计算比对。推荐使用参数化查询避免SQL注入：

-- 假设加盐规则为「明文密码 + 盐」，若规则为「盐 + 明文密码」则调换CONCAT内的顺序
SELECT COUNT(*) FROM operators 
WHERE user = ? 
AND atm = SHA1(CONCAT(?, hash))

如果用代码分步处理：

// 1. 先查询用户的盐值和存储的密码哈希
const getSaltQuery = `SELECT hash, atm FROM operators WHERE user = ?`;
// 执行查询并获取salt（hash字段值）和storedHash（atm字段值）

// 2. 根据加盐规则计算验证哈希
const computedHash = sha1(formPassword + salt); // 或 salt + formPassword，匹配实际规则

// 3. 对比计算结果与存储值
const isValid = computedHash === storedHash;

情况B：系统使用固定盐

如果所有用户共用同一个固定盐，直接在SQL中拼接固定盐值即可：

// 替换"your_fixed_salt"为实际固定盐值，同时改用参数化查询避免注入
const queryFinal = `SELECT COUNT(*) FROM operators WHERE user = ? AND atm = SHA1(CONCAT(?, 'your_fixed_salt'))`;

3. 关键注意事项 #

• 禁止字符串拼接SQL：你当前的代码存在严重SQL注入风险，必须改用参数化查询（如mysql2的预编译语句）。
• SHA1安全性提示：虽然是入职测试任务，但SHA1已不再推荐用于密码存储，若任务允许，建议使用bcrypt、Argon2等更安全的哈希算法。

内容的提问来源于stack exchange，提问作者Arsene