Node.js更新管理员用户时密码自动去哈希问题求助

你的问题出在更新接口直接将req.body的所有字段原封不动存入数据库，导致如果请求中包含明文密码（哪怕是更新用户名时误传），都会直接覆盖哈希后的密码。以下是两种解决方式，推荐结合使用：

方式一：在更新路由中手动处理密码哈希 #

修改/update路由的逻辑，仅当请求中包含password字段且不为空时，才对其进行哈希处理，否则不更新密码字段：

router.post("/update", isAuthenticated, async (req, res) => {
  try {
    // 构造更新对象，避免直接使用req.body
    const updateData = { ...req.body };
    
    // 如果请求中有密码字段，先哈希再存入
    if (updateData.password) {
      updateData.password = bcrypt.hashSync(updateData.password, saltrounds);
    } else {
      // 如果没有密码字段，删除该属性（防止前端传空字符串覆盖）
      delete updateData.password;
    }

    const updateUser = await Admin.findByIdAndUpdate(
      req.user.id,
      updateData,
      { new: true, runValidators: true } // 启用模型验证，确保钩子和规则生效
    );
    res.json(updateUser);
  } catch (err) {
    res.status(400).json(err.message);
  }
});

方式二：在MongoDB模型中添加预操作钩子（推荐） #

在Admin模型中添加钩子，自动监听密码字段的变化，只要密码被修改就自动哈希。这样不管是创建用户还是更新用户，都无需手动处理哈希，从根源避免问题：

// ../models/Admin.js
const mongoose = require('mongoose');
const bcrypt = require('bcryptjs');

const adminSchema = new mongoose.Schema({
  username: { type: String, required: true, unique: true },
  password: { type: String, required: true }
});

// 处理创建或保存操作的密码哈希
adminSchema.pre('save', async function(next) {
  // 仅当密码字段被修改时执行哈希
  if (!this.isModified('password')) return next();
  
  this.password = await bcrypt.hash(this.password, 10);
  next();
});

// 处理findByIdAndUpdate等更新操作的密码哈希
adminSchema.pre('findOneAndUpdate', async function(next) {
  const update = this.getUpdate();
  // 简单判断：如果密码是明文（哈希后长度通常大于60），则进行哈希
  if (update.password && update.password.length < 60) {
    update.password = await bcrypt.hash(update.password, 10);
  }
  next();
});

module.exports = mongoose.model('Admin', adminSchema);

注意事项 #

• 使用方式二时，更新路由必须加上runValidators: true，确保模型的钩子和验证规则生效。
• 建议前端仅传递需要更新的字段，避免在不需要修改密码时传入password字段。

内容的提问来源于stack exchange，提问作者Jordan