如何解决mongoose-field-encryption加密MongoDB字段的查询失效问题

问题根源 #

1. 加密非确定性：mongoose-field-encryption默认使用随机初始化向量(IV)，导致相同明文每次加密结果不同，无法进行精确匹配查询。
2. 字段预处理不一致：查询时传入的email未执行与存储时一致的trim、lowercase处理，明文不一致直接导致加密结果不匹配。

修改步骤 #

1. 调整模型加密配置，开启确定性加密

在插件配置中添加deterministicEncryption: true，确保相同明文生成固定密文，满足精确搜索需求：

userSchema.plugin(mongooseFieldEncryption, { 
  fields: ["email", "contactNumber"], 
  secret: encryptionSecret,
  saltGenerator: function (secret) {
    return "1452819847269312";
  },
  deterministicEncryption: true, // 新增：开启确定性加密
});

2. 统一查询字段的预处理逻辑

在查询函数中，先对email执行与Schema定义一致的清洗操作（去空格、转小写），再进行加密：

export const getUsers = async (req, res) => {
    try {
        let query = {}; // 补充初始化query变量
        let { email } = req.query

        if (email) {
            // 执行与Schema匹配的预处理：去空格+转小写
            const processedEmail = email.trim().toLowerCase();
            const messageToSearchWith = new User({ email: processedEmail });
            messageToSearchWith.encryptFieldsSync();

            query.email = messageToSearchWith.email
        }

        let users = await User.find(query)
        return res.status(200).json(users)

    } catch (error) {
        console.log('error in getting users', error)
        res.status(500).json({ error: 'Failed to fetch users' }); // 补充错误响应
    }
}

3. 重新加密现有数据库数据（必做）

之前存储的数据是用非确定性加密生成的，开启确定性加密后，旧数据的密文与新加密逻辑生成的密文不匹配。需要编写脚本重新加密现有数据：

const reencryptUsers = async () => {
  const users = await User.find({});
  for (const user of users) {
    user.encryptFieldsSync();
    await user.save();
  }
};
reencryptUsers().then(() => console.log('Reencryption completed successfully'));

关键注意事项 #

• 确定性加密会降低部分安全性（相同明文对应相同密文，存在被统计分析的风险），但这是实现加密字段精确搜索的必要权衡。
• secret和saltGenerator必须保持稳定，任何变更都会导致无法解密现有数据或搜索失效。

内容的提问来源于stack exchange，提问作者Kunal Arora