使用bcrypt验证MongoDB哈希密码失败问题求助

1. 排查重复哈希问题 #

• 检查代码中是否多次执行密码哈希操作：比如在注册控制器里先哈希一次，又在User模型的pre-save钩子中再次哈希，导致数据库存储的是「哈希的哈希」，和日志中第一次生成的哈希自然不一致。
• 修复逻辑：只在一个地方处理哈希（推荐放在模型的pre-save钩子中），且仅当密码字段被修改时才执行哈希，避免重复操作。

2. 验证盐值的自动处理逻辑 #

• 不要手动指定盐值，直接使用bcrypt内置的盐值生成逻辑：bcrypt.hash(password, saltRounds)。bcrypt生成的哈希结果中已经包含了盐值，验证时只需要传入原始密码和存储的哈希字符串即可，无需单独存储盐值。
• 禁止在哈希生成和验证环节使用不同的盐值逻辑，确保全程依赖bcrypt的自动处理。

3. 检查数据库字段配置 #

• 确认MongoDB中存储密码的字段（如password）类型为String，且未设置长度限制。bcrypt生成的哈希固定为60字符，若字段长度不足会被截断，导致存储的哈希不完整，与日志输出不一致。

4. 修复异步逻辑漏洞 #

• bcrypt的hash和compare都是异步方法，必须使用await等待操作完成后再执行数据库存储或验证。
• 错误示例：未加await就将bcrypt.hash()返回的Promise对象存入数据库，导致存储的不是哈希字符串而是Promise对象。

代码修复示例 #

正确的User模型写法 #

const mongoose = require('mongoose');
const bcrypt = require('bcrypt');

const userSchema = new mongoose.Schema({
  email: { type: String, unique: true, required: true },
  password: { type: String, required: true }
});

// 仅在密码修改时执行哈希，避免二次哈希
userSchema.pre('save', async function(next) {
  if (!this.isModified('password')) return next();
  try {
    const hashedPassword = await bcrypt.hash(this.password, 10);
    this.password = hashedPassword;
    next();
  } catch (err) {
    next(err);
  }
});

// 封装密码验证方法
userSchema.methods.comparePassword = async function(candidatePassword) {
  return bcrypt.compare(candidatePassword, this.password);
};

module.exports = mongoose.model('User', userSchema);

注册控制器正确逻辑 #

const User = require('../models/User');

async function register(req, res) {
  try {
    const { email, password } = req.body;
    const user = new User({ email, password });
    await user.save();
    // 此处打印的是经过模型钩子处理后的最终哈希，与数据库存储一致
    console.log('数据库存储的哈希:', user.password);
    res.status(201).json({ msg: '注册成功' });
  } catch (err) {
    res.status(500).json({ error: err.message });
  }
}

登录控制器验证逻辑 #

const User = require('../models/User');

async function login(req, res) {
  try {
    const { email, password } = req.body;
    const user = await User.findOne({ email });
    if (!user) return res.status(401).json({ msg: '用户不存在' });
    
    const isPasswordMatch = await user.comparePassword(password);
    isPasswordMatch 
      ? res.status(200).json({ msg: '登录成功' })
      : res.status(401).json({ msg: '密码错误' });
  } catch (err) {
    res.status(500).json({ error: err.message });
  }
}

内容的提问来源于stack exchange，提问作者user17281101