我来帮你排查下这个问题——毕竟我也踩过类似的坑，结合Sequelize+PostgreSQL的场景，大概率是这几个环节出了问题：

1. 密码哈希的时机没处理对 #

很多人会在业务代码里手动哈希密码，但忘记用Sequelize的钩子自动处理，或者钩子逻辑有问题，导致数据库里存的根本不是正确的bcrypt哈希值。

正确的做法是给用户模型加上beforeCreate和beforeUpdate钩子，确保每次创建/更新用户时自动哈希明文密码，而不是手动在控制器里处理（容易遗漏）：

const { Model, DataTypes } = require('sequelize');
const bcrypt = require('bcryptjs');

class User extends Model {
  static init(sequelize) {
    super.init({
      email: {
        type: DataTypes.STRING,
        allowNull: false,
        unique: true,
      },
      password: {
        type: DataTypes.STRING,
        allowNull: false,
        validate: {
          len: [6, 100] // 确保密码长度符合要求
        }
      }
    }, {
      sequelize,
      hooks: {
        // 创建用户前自动哈希密码
        beforeCreate: async (userInstance) => {
          if (userInstance.password) {
            const salt = await bcrypt.genSalt(10);
            userInstance.password = await bcrypt.hash(userInstance.password, salt);
          }
        },
        // 更新密码时也重新哈希（只有密码字段变化时才触发）
        beforeUpdate: async (userInstance) => {
          if (userInstance.changed('password')) {
            const salt = await bcrypt.genSalt(10);
            userInstance.password = await bcrypt.hash(userInstance.password, salt);
          }
        }
      }
    });
  }

  // 定义密码验证方法
  async comparePassword(plainPassword) {
    // 注意参数顺序：第一个是明文密码，第二个是数据库存的哈希值
    return await bcrypt.compare(plainPassword, this.password);
  }
}

2. comparePassword的逻辑犯了低级错误 #

最常见的两个坑：

• 参数顺序搞反：bcrypt.compare的第一个参数必须是明文密码，第二个是数据库里的哈希值，搞反了肯定返回false；
• this指向错误：如果你在控制器里调用的是User.comparePassword()（静态方法），而不是用户实例的user.comparePassword()，那this.password根本取不到数据库里的哈希值。

正确的登录控制器写法应该是这样：

async login(req, res) {
  try {
    const { email, password } = req.body;
    // 先通过邮箱找到用户实例
    const user = await User.findOne({ where: { email } });
    if (!user) {
      return res.status(401).json({ message: '用户不存在' });
    }
    // 调用用户实例的comparePassword方法
    const isPasswordMatch = await user.comparePassword(password);
    if (!isPasswordMatch) {
      return res.status(401).json({ message: '密码错误' });
    }
    // 登录成功，返回用户信息或token
    res.json({ message: '登录成功', user: { email: user.email } });
  } catch (err) {
    res.status(500).json({ message: '服务器异常', error: err.message });
  }
}

3. 数据库的password字段长度不够 #

bcrypt生成的哈希值固定是60位左右，如果你的PostgreSQL用户表中password字段定义的是VARCHAR(50)或者更短，存入的哈希值会被截断，自然验证不通过。

赶紧去检查数据库表结构，把password字段改成VARCHAR(255)（留足够余量）：

ALTER TABLE users ALTER COLUMN password TYPE VARCHAR(255);

4. 创建用户时的操作有误 #

比如你创建用户时，手动对密码做了哈希，然后又传给User.create()，导致钩子再次哈希，最终数据库里存的是“哈希的哈希”，验证时自然匹配不上。

正确的创建用户逻辑是直接传入明文密码，让钩子自动处理哈希：

async createUser(req, res) {
  try {
    const { email, password } = req.body;
    // 直接传明文密码，钩子会自动哈希
    const newUser = await User.create({ email, password });
    res.status(201).json({ message: '用户创建成功', user: { email: newUser.email } });
  } catch (err) {
    res.status(400).json({ message: '创建失败', error: err.message });
  }
}

快速排查步骤 #

1. 先去数据库里查一条用户记录，看password字段是不是60位左右的哈希字符串（如果是明文或者长度不对，那就是哈希环节出问题了）；
2. 检查模型的钩子有没有正确触发（可以在钩子里加console.log，看创建用户时有没有执行哈希逻辑）；
3. 确认登录时调用的是用户实例的comparePassword方法，而不是静态方法；
4. 核对bcrypt.compare的参数顺序有没有搞反。

内容的提问来源于stack exchange，提问作者Robin