仅收到明文API密钥时，如何验证数据库中哈希存储的密钥？

你的核心困境是：bcrypt属于单向哈希算法，没法用明文密钥反向查到对应的哈希值，而当前又没有用户标识来定位数据库中的对应记录。以下是几个实用的解决思路：

方案1：给API密钥嵌入用户标识片段 #

生成密钥时，把用户的唯一标识（比如用户ID的短哈希、或Base64编码片段）和随机UUID拼接，让密钥本身携带可定位用户的信息：

const userId = "123456";
// 将用户ID转成短编码，比如取Base64结果的前8位
const userPrefix = Buffer.from(userId).toString('base64').slice(0, 8);
const randomPart = crypto.randomUUID();
const key = `${userPrefix}-${randomPart}`;
// 正常哈希整个密钥并存储
const hashedToken = await bcrypt.hash(key, saltRounds);

验证时，先把收到的明文密钥按分隔符拆分，提取出用户前缀，再通过前缀定位到对应用户，拿到存储的哈希密钥后，用bcrypt.compare(key, user.apiKey)验证整个密钥的有效性。

方案2：存储API密钥的短前缀用于查询 #

生成密钥时，提取随机UUID的前12位作为查询前缀，和哈希值一同存入用户表：

const key = crypto.randomUUID();
const queryPrefix = key.slice(0, 12);
const hashedToken = await bcrypt.hash(key, saltRounds);
// 存入数据库：{ apiKeyHash: hashedToken, apiKeyPrefix: queryPrefix, ...其他用户字段 }

验证时，先提取明文密钥的前12位前缀，用这个前缀去数据库查询匹配的用户（12位前缀的冲突概率极低，通常只会返回1条结果），再对返回的用户执行bcrypt.compare(key, user.apiKeyHash)验证，匹配成功的即为目标用户。

方案3：遍历验证（仅适合极小用户规模） #

如果暂时不想修改密钥生成逻辑，只能遍历数据库中所有用户，逐个用bcrypt.compare验证明文密钥与存储的哈希值。但这个方法性能极差，用户量超过几百就会严重卡顿，仅适合测试或极小用户场景：

const allUsers = await User.find();
let validUser = null;
for (const user of allUsers) {
  const isValid = await bcrypt.compare(providedKey, user.apiKey);
  if (isValid) {
    validUser = user;
    break;
  }
}
// 后续通过validUser处理业务逻辑

注意：方案1和方案2是生产环境的最优选择，方案3仅作为临时救急方案。另外，无论采用哪种方案，都建议给API密钥设置合理的过期时间，降低密钥泄露后的风险。

内容的提问来源于stack exchange，提问作者user8463989