使用bcrypt哈希密码后，Passport登录验证密码比对失败求助

你直接用user.password != password比对哈希密码和明文密码的方式是错误的——bcrypt生成的哈希值会包含随机盐，不可能和明文直接相等。必须使用bcrypt提供的compare方法验证明文与哈希的匹配性，以下是修正后的完整Passport认证代码：

//Authentication Using Passport
const bcrypt = require('bcrypt'); // 确保已引入bcrypt模块

passport.use(
  new LocalStrategy(
    {
      usernameField: "email",
      passReqToCallback: true,
    },
    function (req, email, password, done) {
      // 查找用户并确认身份
      User.findOne({ email: email })
        .then((user) => {
          if (!user) {
            console.log("用户不存在");
            return done(null, false, { message: 'Invalid Username and Password' });
          }

          // 使用bcrypt.compare验证密码匹配性
          return bcrypt.compare(password, user.password)
            .then((isMatch) => {
              if (!isMatch) {
                console.log("密码不匹配");
                return done(null, false, { message: 'Invalid Username and Password' });
              }
              // 密码匹配，返回用户信息
              return done(null, user);
            })
            .catch((compareErr) => {
              console.log("密码比对出错 ---> Passport");
              return done(compareErr);
            });
        })
        .catch((err) => {
          console.log("查找用户出错 ---> Passport");
          return done(err);
        });
    }
  )
);

关键修改说明： #

• 移除直接相等判断：弃用user.password != password的错误比对逻辑，改用异步的bcrypt.compare(明文密码, 存储的哈希密码)
• 规范异步流程处理：bcrypt.compare返回Promise，必须在其then回调中处理匹配结果，保证异步逻辑正确执行
• 遵循Passport回调规范：使用done(null, false, {message: ...})传递验证失败信息，而非直接调用req.res.redirect（Passport会结合策略配置处理后续跳转）
• 分层错误捕获：分别处理用户查询错误和密码比对错误，便于问题排查

如果之前使用compare失败，可能是这些原因：

• 未正确引入bcrypt模块
• 用户注册时未使用bcrypt.hash生成哈希密码
• 数据库存储哈希的字段长度不足（bcrypt哈希通常需要60字符以上的字段空间）

内容的提问来源于stack exchange，提问作者Abu sufyan malik