Express服务开发：Sequelize beforeCreate钩子与bcrypt.hash选哪个做密码哈希？

这俩不是二选一的关系，bcrypt.hash是实现密码哈希的核心工具，而Sequelize的beforeCreate钩子是更合适的触发时机，原因如下：

• 避免遗漏哈希逻辑
  如果直接在业务代码里调用bcrypt.hash，万一后续新增创建用户的接口、或者修改现有注册逻辑时忘了加哈希步骤，就会导致明文密码存入数据库。而beforeCreate是绑定在模型层面的钩子，只要通过User.create()创建用户实例，不管在哪调用这个方法，都会自动触发哈希逻辑，从根源上杜绝明文密码的风险。

• 实现代码解耦
  把密码哈希这种和数据持久化强相关的逻辑放在模型层，业务层只需要专注处理用户输入验证、参数组装等业务逻辑，不用关心密码的哈希细节。比如业务层只需要传入用户提交的明文密码，模型会自动完成哈希处理，代码结构更清晰。

• 降低维护成本
  以后如果需要更换哈希算法（比如从bcrypt换成Argon2），只需要修改模型里的beforeCreate钩子代码，不用改动所有创建用户的业务代码，扩展性更强。

举个简单的实现示例：

// User模型定义
const User = sequelize.define('User', {
  username: DataTypes.STRING,
  password: DataTypes.STRING
});

// 绑定beforeCreate钩子，自动哈希密码
User.beforeCreate(async (user) => {
  // 第二个参数是盐轮数，建议设为10及以上
  user.password = await bcrypt.hash(user.password, 10);
});

内容的提问来源于stack exchange，提问作者slinger