基于Node.js与MongoDB实现加密数据正则搜索功能求助

你遇到的核心问题是：应用层加密后的字段以密文形式存储在MongoDB中，直接对密文做正则查询无法匹配明文的字符规则。下面提供两种可落地的解决方案：

方案一：应用层生成搜索令牌（推荐，易实现） #

通过为加密字段生成明文子串的哈希集合，将哈希值存储在额外的未加密字段中，搜索时通过输入字符的哈希匹配这些集合，从而间接实现“包含式搜索”。

步骤1：修改Schema并添加搜索令牌字段 #

const mongoose = require('mongoose');
const mongooseFieldEncryption = require("mongoose-field-encryption").fieldEncryption;
const crypto = require('crypto');

// 生成明文的子串哈希集合（去重）
function generateSearchTokens(str) {
  const tokens = new Set();
  // 生成所有长度1到原字符串长度的子串，计算哈希
  for (let i = 0; i < str.length; i++) {
    for (let j = i + 1; j <= str.length; j++) {
      const subStr = str.slice(i, j);
      // 使用SHA256生成不可逆哈希，避免泄露明文
      const hash = crypto.createHash('sha256').update(subStr).digest('hex');
      tokens.add(hash);
    }
  }
  return Array.from(tokens);
}

const courseSchema = new mongoose.Schema({
  name: {
    type: String,
    required: true,
  },
  courseType: {
    type: String,
    required: true,
  },
  // 存储name字段的子串哈希，用于搜索
  nameSearchTokens: [String],
  // 存储courseType字段的子串哈希
  courseTypeSearchTokens: [String]
});

// 原有加密插件配置
courseSchema.plugin(mongooseFieldEncryption, { 
  fields: ["name", "courseType"], 
  secret: encKey,
  saltGenerator: () => "1234567890123456",
});

// 保存文档前自动更新搜索令牌
courseSchema.pre('save', function(next) {
  if (this.isModified('name')) {
    this.nameSearchTokens = generateSearchTokens(this.name);
  }
  if (this.isModified('courseType')) {
    this.courseTypeSearchTokens = generateSearchTokens(this.courseType);
  }
  next();
});

const Course = mongoose.model('Course', courseSchema);

步骤2：实现搜索逻辑 #

当用户输入搜索字符（如"n"）时，先计算该字符的哈希，再查询对应令牌字段包含该哈希的文档：

async function searchCoursesByName(keyword) {
  const keywordHash = crypto.createHash('sha256').update(keyword).digest('hex');
  return await Course.find({ nameSearchTokens: keywordHash });
}

// 调用示例：搜索name包含"n"的课程
const result = await searchCoursesByName("n");

优化建议

• 如果明文长度较长，可限制子串的最大长度（比如只生成1-3位的子串），减少令牌数组的大小；
• 若只需要前缀搜索（如输入"he"匹配"hello"），可只生成前缀子串，进一步降低存储开销。

方案二：MongoDB客户端字段级加密（CSFLE） #

MongoDB 4.2+支持的CSFLE提供可搜索加密功能，允许对加密字段直接执行特定类型的查询（包括前缀、包含匹配），安全性更高，但配置复杂度较高。

核心思路 #

1. 配置MongoDB加密客户端，集成密钥管理服务（KMS，如AWS KMS、本地密钥）；
2. 定义加密字段时启用可搜索选项，指定支持的查询类型；
3. 查询时通过加密客户端自动处理加密字段的匹配逻辑。

该方案适合对数据安全性要求极高的场景，需参考MongoDB官方文档完成密钥配置和客户端集成。

内容的提问来源于stack exchange，提问作者Devherds Software Solutions