Node.js+Express+Mongoose单集合存管理员用户的认证实现问题

现有代码的核心问题 #

• 数据结构设计缺陷：将普通用户嵌套在管理员文档的user数组中，查询普通用户需要操作嵌套数组，无法直接通过普通findOne获取单用户信息
• 聚合结果读取错误：原有聚合管道返回的结构为[{ user: [匹配到的普通用户对象] }]，是数组嵌套数组的结构，直接读取user.password会得到undefined，自然无法完成密码比对
• 登录逻辑分支缺失：没有区分管理员、普通用户两个身份的匹配规则，会出现管理员账号被识别为普通用户走校验流程的问题

聚合查询方案适用性说明 #

聚合查询完全可以实现现有结构下的用户登录校验，但需要调整管道逻辑拆分数组，同时补全身份分支判断。不过该方案仅适合临时修复，嵌套存储的结构在用户量增长后会出现性能问题、单文档大小溢出问题，长期使用建议调整Schema。

可直接落地的修复代码 #

修复思路 #

1. 登录校验优先匹配顶层管理员账号，比对通过直接返回管理员身份
2. 管理员账号未匹配/密码错误时，再通过聚合查询匹配嵌套的普通用户账号
3. 聚合管道增加$unwind阶段拆分嵌套用户数组，直接返回扁平化的单用户对象，方便后续密码比对
4. 注意聚合返回值永远是数组，匹配成功后取第一个元素即为目标用户

const bcrypt = require('bcrypt')
const adminModel = require('./你的admin模型路径')

const doLogin = (userData) => {
  return new Promise(async (resolve, reject) => {
    try {
      // 第一步：校验管理员账号
      const adminRecord = await adminModel.findOne({
        // 按你实际的管理员登录字段调整，若管理员用邮箱登录则匹配email字段
        name: userData.account
      })
      if (adminRecord) {
        const adminPwdValid = await bcrypt.compare(userData.password, adminRecord.password)
        if (adminPwdValid) {
          return resolve({
            status: true,
            user: {
              id: adminRecord._id,
              name: adminRecord.name,
              role: 'admin'
            }
          })
        }
      }

      // 第二步：管理员校验未通过，查询嵌套的普通用户
      const normalUserResult = await adminModel.aggregate([
        // 先筛选出包含对应邮箱用户的文档
        { $match: { 'user.email': userData.email } },
        // 拆分user数组，将每个嵌套用户转为独立文档
        { $unwind: '$user' },
        // 二次精准匹配对应用户
        { $match: { 'user.email': userData.email } },
        // 投影返回需要的字段，做扁平化处理
        {
          $project: {
            _id: '$user._id',
            name: '$user.name',
            email: '$user.email',
            password: '$user.password'
          }
        }
      ])

      // 未匹配到普通用户
      if (normalUserResult.length === 0) {
        return resolve({ status: false })
      }
      const targetUser = normalUserResult[0]
      // 比对普通用户密码
      const userPwdValid = await bcrypt.compare(userData.password, targetUser.password)
      if (userPwdValid) {
        return resolve({
          status: true,
          user: {
            id: targetUser._id,
            name: targetUser.name,
            email: targetUser.email,
            role: 'normal'
          }
        })
      }
      // 密码错误
      return resolve({ status: false })
    } catch (err) {
      reject(err)
    }
  })
}

长期结构优化建议 #

不要采用嵌套数组存储普通用户的设计，推荐将所有角色的用户统一存在users集合，通过role字段区分身份，彻底避免复杂聚合查询，同时解决后续用户量增长带来的性能问题。优化后的Schema参考：

const mongoose = require('mongoose')
const userSchema = new mongoose.Schema({
  name: String,
  email: String,
  password: String,
  role: {
    type: String,
    enum: ['admin', 'normal'],
    default: 'normal'
  }
})
module.exports = mongoose.model('User', userSchema)

该结构下登录仅需一次findOne查询即可匹配账号，通过返回的role字段做权限判断即可，逻辑简单、查询性能更高。

内容的提问来源于stack exchange，提问作者MUHAMMED RISHAM