在express-validator中验证密码与哈希密码匹配时遇参数错误

你遇到的“Illegal arguments: string, undefined”错误，核心原因是没有正确处理异步操作，导致bcrypt.compare拿到的第二个参数是undefined，具体问题和修复方案如下：

错误根源 #

1. User.findOne()是异步方法，返回的是Promise对象，直接访问findUser.password会得到undefined——因为Promise本身没有password属性。
2. bcrypt.compare()同样是异步方法，返回Promise，你直接用!check判断的是Promise对象，不是布尔值，逻辑完全错误。
3. 两次调用User.findOne()重复查询数据库，没必要且影响性能。

修复后的代码 #

exports.validateLogin = [
    check('email')
        .trim()
        .notEmpty()
        .withMessage('Email cannot be blank')
        .isEmail()
        .withMessage('Email is not valid')
        .custom(async (value, { req }) => {
            // 用await等待数据库查询完成，拿到真实用户对象
            const user = await User.findOne({ email: value });
            if (!user) {
                throw new Error('E-mail is not registered');
            }
            // 将用户存入req，供密码验证步骤复用，避免重复查询
            req.user = user;
        }),
    check('password')
        .trim()
        .notEmpty()
        .withMessage('Password cannot be blank')
        .custom(async (value, { req }) => {
            // 从req中获取之前查询到的用户
            const user = req.user;
            // 等待bcrypt.compare的异步结果
            const isPasswordMatch = await bcrypt.compare(value, user.password);
            if (!isPasswordMatch) {
                throw new Error('Incorrect password');
            }
        }),
];

关键注意事项 #

• 所有涉及数据库查询、加密校验的异步操作，必须用async/await或.then()处理，确保拿到真实结果后再执行后续逻辑。
• 验证流程中可以复用请求对象（req）存储中间数据，减少不必要的数据库交互。
• 自定义验证器中抛出错误要用throw new Error()，express-validator会自动捕获并转为验证错误信息。

内容的提问来源于stack exchange，提问作者Blank0101