NestJS BasicStrategy不接受空密码的解决方案咨询

你的代码未配置Passport BasicStrategy的passwordRequired选项，该选项默认值为true。这意味着当请求中的基础认证密码为空时，Passport会在解析请求阶段直接拒绝，不会进入你自定义的validate方法，直接返回未授权错误。

另外，你的validate方法仅验证用户名，完全未处理密码验证逻辑，这也不符合基础认证的常规要求（除非你的业务场景确实允许无密码认证）。

场景1：允许空密码的基础认证 #

若业务需要支持仅用户名、无密码的认证，需在策略初始化时关闭passwordRequired校验：

@Injectable()
export class BasicStrategy extends PassportStrategy(Strategy, 'basic') {
    constructor(private configService: ConfigService) {
        super({
            passReqToCallback: true,
            passwordRequired: false, // 新增配置，允许空密码进入validate方法
        });
    }

    public validate = async (req, username, password): Promise<boolean> => {
        const keys = this.configService.get<string>('SECURE_KEY').split(',');
        // 根据需求判断用户名匹配且密码为空即可通过
        if (keys[0] === username && password === '') {
            return true;
        }
        throw new UnauthorizedException();
    }
}

场景2：需要验证用户名和密码（常规基础认证） #

若业务要求必须同时验证用户名和密码，需修改两部分：

1. 确保SECURE_KEY的格式为用户名,密码（例如admin,yourSecurePassword）
2. 在validate方法中同时校验用户名和密码：

@Injectable()
export class BasicStrategy extends PassportStrategy(Strategy, 'basic') {
    constructor(private configService: ConfigService) {
        super({
            passReqToCallback: true,
            // 保持默认的passwordRequired为true，确保请求必须携带密码
        });
    }

    public validate = async (req, username, password): Promise<boolean> => {
        const [validUsername, validPassword] = this.configService.get<string>('SECURE_KEY').split(',');
        // 同时验证用户名和密码的正确性
        if (validUsername === username && validPassword === password) {
            return true;
        }
        throw new UnauthorizedException();
    }
}

• 生产环境不要直接明文存储和比较密码，建议使用bcrypt等哈希算法存储密码，验证时比对哈希值。
• 确保SECURE_KEY的配置格式正确，避免分割后出现空值导致验证失败。

内容的提问来源于stack exchange，提问作者Sha