使用bcrypt与Mongoose修改用户密码时匹配验证失败求助

我看了你的修改密码路由代码，发现几个可能导致bcrypt.compare明明密码正确却进不了isMatch分支的问题，咱们一步步来排查和修复：

一、先确认密码存储的正确性 #

首先要排查最基础的问题：你数据库里存储的user.password是不是bcrypt标准哈希串？bcrypt的哈希结果通常以$2b$或$2a$开头，长度固定为60个字符左右。你可以在User.findOne之后加一行console.log(user.password)，看看输出的是不是符合这个格式。如果不是，那问题出在你创建用户时的密码存储逻辑（比如没做bcrypt哈希，或者用了其他哈希算法），和当前的修改密码逻辑无关。

二、修复异步代码的逻辑漏洞 #

你的代码里有一个致命的异步顺序问题：bcrypt.hash和user.save()都是异步操作，但你直接在它们之后调用了res.redirect，这会导致响应已经发送给客户端，后续的异步代码（包括你想执行的密码更新逻辑）可能根本没机会跑完。另外，回调里的throw err会直接导致服务器崩溃，而不是优雅处理错误。

我把你的代码改成了更易读、更易排查的async/await写法，同时修复了异步逻辑问题：

router.post("/changepassword", ensureAuthenticated, async (req, res) => {
  try {
    const { currentPassword, newPassword, confirmNewPassword } = req.body;
    const userID = req.user.userID;
    let errors = [];

    // 检查必填字段
    if (!currentPassword || !newPassword || !confirmNewPassword) {
      errors.push({ msg: "Please fill in all fields." });
    }

    // 检查新密码是否匹配
    if (newPassword !== confirmNewPassword) {
      errors.push({ msg: "New passwords do not match." });
    }

    // 检查密码长度（只需检查一次新密码即可）
    if (newPassword.length < 6) {
      errors.push({ msg: "Password should be at least six characters." });
    }

    if (errors.length > 0) {
      return res.render("changepassword", {
        errors,
        name: req.user.name,
      });
    }

    // 查找目标用户
    const user = await User.findOne({ userID: userID });
    if (!user) {
      errors.push({ msg: "User not found." });
      return res.render("changepassword", { errors, name: req.user.name });
    }

    // 验证当前密码
    const isMatch = await bcrypt.compare(currentPassword, user.password);
    if (!isMatch) {
      errors.push({ msg: "Current password is not a match." });
      return res.render("changepassword", { errors, name: req.user.name });
    }

    // 哈希新密码并保存
    const salt = await bcrypt.genSalt(10);
    const hash = await bcrypt.hash(newPassword, salt);
    user.password = hash;
    await user.save(); // 必须等待保存完成再跳转

    req.flash("success_msg", "Password successfully updated!");
    res.redirect("/dashboard");
  } catch (err) {
    console.error("修改密码出错：", err);
    req.flash("error_msg", "Server error, please try again later.");
    res.redirect("/changepassword");
  }
});

三、额外排查点 #

如果改完之后还是有问题，再检查这几个地方：

• 打印req.body确认currentPassword的值和你输入的完全一致，没有被转义、添加空格或者编码问题；
• 确认ensureAuthenticated中间件正确设置了req.user，req.user.userID确实是当前登录用户的ID，避免找错用户导致密码匹配失败；
• 如果你用的是Mongoose，检查User模型的password字段是不是String类型，有没有设置错误的验证规则（比如最大长度限制）导致哈希串被截断。

内容的提问来源于stack exchange，提问作者Tony Drummond