bcrypt.compare()在Postman中返回false，登录接口无法返回200状态码及用户信息

问题分析 #

你遇到的密码验证失败、无法返回正常用户信息的问题，主要来自两方面原因：

1. 密码存储未做哈希处理 #

如果用户注册时直接存储明文密码，没有用bcrypt.hash()生成哈希值，那么bcrypt.compare()必然会验证失败——因为该方法是将输入的明文密码与存储的哈希值做比对，而非明文直接匹配。

2. 路由代码逻辑存在缺陷 #

当前代码里的短路判断写法（!user && res.status(...)）有问题：

• 用户不存在时，虽然返回了404响应，但代码不会停止执行，后续会尝试访问user.password触发报错，还可能导致后续重复发送响应。
• 密码验证失败时，返回400后代码仍会执行到res.status(200).json(user)，这会让Express抛出"Cannot set headers after they are sent to the client"错误，同时干扰预期的响应结果。

修复方案 #

步骤1：确保注册时正确哈希密码 #

在用户注册接口中，必须用bcrypt.hash()处理密码后再存入数据库，示例代码如下：

// 注册接口示例
router.post('/register', async (req, res) => {
  try {
    // 生成盐值，saltRounds建议设为10或更高
    const salt = await bcrypt.genSalt(10);
    const hashedPassword = await bcrypt.hash(req.body.password, salt);

    const newUser = new User({
      email: req.body.email,
      password: hashedPassword // 存储哈希后的密码
    });

    const savedUser = await newUser.save();
    res.status(200).json(savedUser);
  } catch (err) {
    res.status(500).json(err);
  }
});

步骤2：修复登录路由的逻辑错误 #

将短路判断改为if语句并添加return，确保响应后终止代码执行：

// 修复后的登录路由
router.post('/login', async (req, res) => {
  try {
    const user = await User.findOne({ email: req.body.email });
    // 用户不存在时返回404并终止执行
    if (!user) {
      return res.status(404).json('user not found');
    }

    const validPassword = await bcrypt.compare(req.body.password, user.password);
    // 密码验证失败时返回400并终止执行
    if (!validPassword) {
      return res.status(400).json('Wrong Password');
    }

    // 验证通过，返回用户信息
    res.status(200).json(user);
  } catch (err) {
    res.status(500).json(err);
  }
});

额外检查项 #

• 确认Postman请求体中的email和password字段名与代码中req.body的字段完全一致（注意大小写）。
• 检查数据库中存储的用户密码是否为哈希后的字符串（长度通常为60左右），而非明文。

内容的提问来源于stack exchange，提问作者Aditya tiwari