Node.js新手求教：用户认证中密码加密的两种实现及最佳实践

两种实现的核心区别 #

• 控制器内直接加密：加密逻辑和请求处理代码耦合在一起，只有在当前控制器的流程里主动调用加密方法，密码才会被加密。
• Mongoose pre-save 中间件加密：把加密逻辑绑定到用户模型的生命周期上，只要调用 save() 或依赖它的方法（比如 create()），不管是在注册控制器、后台管理接口还是其他服务里操作用户数据，都会自动触发加密。

为什么pre-save中间件是最佳实践 #

1. 关注点分离：控制器只负责处理HTTP请求的参数校验、响应返回等接口相关逻辑，加密这种和数据持久化强相关的操作交给模型层，符合分层设计原则，代码结构更清晰。
2. 避免冗余代码：如果后续新增用户操作接口（比如后台批量创建用户、用户修改密码），不用每次复制粘贴加密代码，中间件会自动处理，减少重复劳动。
3. 杜绝加密遗漏风险：要是哪天在新接口里忘了写加密代码直接调用save，明文密码就会存进数据库。用中间件的话，只要通过save保存用户数据，密码就一定会被加密，从根源上避免这种低级错误。
4. 保证数据一致性：不管用户数据通过什么途径修改保存，加密规则都是统一的，不会出现部分用户密码加密、部分没加密的混乱情况。

代码示例对比 #

控制器内加密的写法

// 注册控制器
exports.register = async (req, res) => {
  const { username, password } = req.body;
  // 手动在控制器里加密密码
  const hashedPassword = await bcrypt.hash(password, 10);
  const user = new User({ username, password: hashedPassword });
  await user.save();
  res.status(201).json({ message: '用户创建成功' });
};

pre-save中间件的写法

// User 模型文件
const userSchema = new mongoose.Schema({
  username: { type: String, required: true },
  password: { type: String, required: true }
});

// 绑定save前的加密中间件
userSchema.pre('save', async function(next) {
  // 只有密码字段被修改（或新创建用户）时才加密，避免重复加密
  if (!this.isModified('password')) return next();
  this.password = await bcrypt.hash(this.password, 10);
  next();
});

const User = mongoose.model('User', userSchema);

// 注册控制器
exports.register = async (req, res) => {
  const { username, password } = req.body;
  const user = new User({ username, password });
  // 调用save时自动触发加密，控制器代码更简洁
  await user.save();
  res.status(201).json({ message: '用户创建成功' });
};

如果你的项目现在还在控制器里加密，建议尽快迁移到pre-save中间件的写法，尤其是当项目规模扩大、需要多入口操作用户数据时，这种写法的维护性和安全性优势会非常明显。

内容的提问来源于stack exchange，提问作者Navindu Dahanayake