MongoDB $lookup聚合实现及React前端登录获取邮箱密码方案

你的场景是：user集合存储用户基础信息（邮箱、用户名、角色），password集合通过userid关联user集合的_id字段存储密码。登录时前端传入邮箱和密码，需要通过聚合查询关联两个集合完成验证。

完整聚合查询代码（Node.js环境示例） #

// 接收前端传入的登录参数
const loginData = {
  email: req.body.email,
  password: req.body.password
};

// 执行聚合查询
db.collection('user').aggregate([
  // 1. 先筛选出邮箱匹配的用户，缩小关联范围
  {
    $match: {
      email: loginData.email
    }
  },
  // 2. 关联password集合，匹配user._id和password.userid
  {
    $lookup: {
      from: 'password',          // 要关联的目标集合名
      localField: '_id',         // user集合的关联字段（自动生成的ObjectId）
      foreignField: 'userid',    // password集合的关联字段
      as: 'passwordRecord'       // 关联结果存储的数组字段名
    }
  },
  // 3. 展开关联结果数组（单用户对应单密码，展开后转为对象）
  {
    $unwind: '$passwordRecord'
  },
  // 4. 验证密码是否匹配
  {
    $match: {
      'passwordRecord.password': loginData.password
    }
  },
  // 5. 可选：过滤返回字段，隐藏敏感信息
  {
    $project: {
      _id: 1,
      username: 1,
      email: 1,
      role: 1,
      passwordRecord: 0  // 不返回密码相关字段给前端
    }
  }
]).toArray((err, results) => {
  if (err) throw err;
  if (results.length > 0) {
    // 登录成功，results[0]为验证通过的用户信息
    console.log('登录成功', results[0]);
    // 此处可生成登录Token返回给React前端
  } else {
    // 邮箱不存在或密码错误
    console.log('邮箱或密码错误');
  }
});

各聚合阶段说明 #

• $match（第一阶段）：先过滤出邮箱匹配的用户，减少后续关联的数据量，提升查询效率。
• $lookup：完成两个集合的关联，将匹配到的密码记录存入指定数组字段。
• $unwind：因为单个用户仅对应一条密码记录，展开数组将其转为对象，方便后续密码匹配。
• $match（第二阶段）：验证关联后的密码与前端传入的密码是否一致。
• $project：可选步骤，用于隐藏敏感的密码字段，避免返回给前端造成安全风险。

重要注意事项 #

生产环境中禁止明文存储密码，必须使用bcrypt等加密库对密码进行哈希处理后再存入数据库：

• 插入密码时：const hashedPwd = bcrypt.hashSync(req.body.password, 10)，存入password集合的是哈希值。
• 验证时：通过bcrypt.compareSync(loginData.password, passwordRecord.password)对比明文和哈希值是否匹配，而非直接对比明文。

内容的提问来源于stack exchange，提问作者Developer