Flask密码哈希问题：为何Login1始终提示密码错误而Login2正常？

核心问题点 #

首先明确：login_2的逻辑是完全错误且无效的——它并没有验证数据库中存储的用户密码哈希，而是对输入的密码重新生成哈希，再用这个新哈希和原密码做验证。由于generate_password_hash生成的哈希本身就对应输入的密码，所以这个验证永远会返回"正确"，本质是自己跟自己比对，根本没用到数据库里的用户数据，起不到验证用户身份的作用。

而login_1是正确的验证逻辑，但始终失败，问题出在密码哈希的生成与存储环节，具体原因如下：

排查方向与解决步骤 #

1. 注册时的哈希生成工具不匹配

werkzeug.security.check_password_hash只能正确验证由werkzeug.security.generate_password_hash生成的哈希值。如果你的用户注册代码用了其他工具（比如引入的flask_bcrypt）生成哈希，那么用werkzeug的验证方法必然失败。

• 若注册时用了flask_bcrypt：
  修改login_1的验证逻辑，改用bcrypt的验证方法：

  # 确保已初始化Bcrypt
  bcrypt = Bcrypt(app)
  
  @app.route('/login', methods=['POST'])
  def login_1():
      data = request.get_json()
      username = data['username']
      password = data['password']
      user = users_collection.find_one({'username': username})
      if user:
          if bcrypt.check_password_hash(user['password_hash'], password):
              print("Password is correct.")
          else:
              print("Password is incorrect.")
  

• 若注册时计划用werkzeug的哈希工具：
  确保注册代码是直接用generate_password_hash生成并存储哈希：

  @app.route('/register', methods=['POST'])
  def register():
      data = request.get_json()
      username = data['username']
      password = data['password']
      # 生成符合werkzeug验证要求的哈希
      password_hash = generate_password_hash(password, method="pbkdf2:sha256")
      # 直接存入数据库，不做额外修改
      users_collection.insert_one({
          'username': username,
          'password_hash': password_hash
      })
      return jsonify({"message": "User registered"})
  

2. 哈希存储过程被篡改

检查MongoDB中存储的password_hash字段值：

• 确认字段值是完整的哈希字符串（比如werkzeug生成的格式为pbkdf2:sha256:260000$xxxxxx$xxxxxxxx...），没有被截断、转义或额外格式化。
• 若存储时对哈希值做了编码、序列化等额外处理，会导致验证时无法匹配。

3. 哈希算法参数不一致

如果注册时指定了非默认的哈希参数（比如迭代次数、盐值），而验证时没有对应匹配，也会导致验证失败。确保注册和验证使用完全一致的算法参数。

内容的提问来源于stack exchange，提问作者milad