Express登录接口报bcrypt参数缺失及ERR_HTTP_HEADERS_SENT错误求助

问题现象 #

基于Express开发用户认证模块时持续触发两类报错，且接口首次请求可正常响应，第二次请求直接报错，注册、获取用户数据等其他关联接口也全部无法正常工作：

• 明文密码与哈希值比对阶段触发报错：Error: data and hash arguments required
• JWT请求头处理中间件阶段触发报错：Error [ERR_HTTP_HEADERS_SENT]: Cannot set headers after they are sent to the client

原登录路由代码 #

router.post('/login', checks.loginChecks, async (req, res) => {
    const errors = validationResult(req);
    if (!errors.isEmpty()) {
        return res.status(400).json({ errors: errors.array() });
    }

    const { email, password } = req.body;

    try {
        let thatOneUser = await User.find({ email });
        console.log(thatOneUser);
        if (!thatOneUser)
            return res.status(403).json({
                success: false,
                message: `Please enter the correct information!`,
            });

        bcrypt.compare(password, thatOneUser.password, (err, result) => {
            if (!result) {
                console.log(err);

                return res.status(403).json({
                    success: false,
                    message: `Please enter the correct information!`,
                    err,
                });
            }
        });

        const authData = { id: thatOneUser.id };
        const authToken = jwt.sign(authData, JWT_SECRET);

        res.json({ success: true, message: 'User has been logged!', authToken });
    } catch (error) {
        res.status(500).json({
            success: false,
            message: 'Error occured during logging the user',
            error,
        });
        console.log(error);
    }
});

原fetchUser中间件代码 #

const jwt = require('jsonwebtoken');
const JWT_SECRET = 'jwtsecretabc123';

const fetchUser = (req, res, next) => {
    // Get the user from the jwt token and add id to req object

    const token = req.header('auth-token');
    console.log(token);

    if (!token)
        return res.status(401).json({
            success: false,
            message: 'Please authenticate using a valid token!',
        });

    try {
        const decoded = jwt.verify(token, JWT_SECRET);
        req.user = decoded.user;

        console.log(decoded.user, ' I am decoded id!');

        next();
    } catch (error) {
        return res
            .status(401)
            .json({ success: false, message: 'failed to decode the token' });
    }
};

module.exports = fetchUser;

根因分析 #

所有报错均来自代码逻辑漏洞，与Express框架本身无关：

• 密码比对参数缺失：Mongoose的User.find()返回值是匹配查询条件的文档数组，即使仅存在一条匹配用户，返回结果也是长度为1的数组而非单个用户对象。直接访问数组的.password属性会得到undefined，传入bcrypt.compare作为哈希参数时就会触发参数缺失报错。
• 重复发送响应：bcrypt.compare是异步回调函数，原代码未等待密码比对完成就直接执行JWT签发、登录成功响应返回逻辑。当密码比对失败触发回调内的403响应时，外层的成功响应已经发送给客户端，就会触发“响应已发送后无法重复设置请求头”的报错。
• 逻辑穿透：原代码中bcrypt.compare回调仅处理了比对失败分支，未处理比对成功分支，即使密码校验通过也无法走到正常签发JWT的流程；同时部分异常响应分支未加return阻断流程，会导致代码继续向下执行，触发重复响应。
• JWT解析逻辑不匹配：登录接口签发JWT时存入payload的字段为id，但fetchUser中间件解码时读取的是不存在的decoded.user字段，该值永远为undefined，会导致所有需要鉴权的接口无法获取用户身份，逻辑异常。

修复方案 #

修复后登录路由代码 #

router.post('/login', checks.loginChecks, async (req, res) => {
    const errors = validationResult(req);
    if (!errors.isEmpty()) {
        return res.status(400).json({ errors: errors.array() });
    }

    const { email, password } = req.body;

    try {
        // 改用findOne查询单条用户文档，避免返回数组
        let thatOneUser = await User.findOne({ email });
        if (!thatOneUser)
            return res.status(403).json({
                success: false,
                message: `请输入正确的账号信息`,
            });

        // 使用await处理bcrypt异步逻辑，避免回调时序问题
        const isPasswordValid = await bcrypt.compare(password, thatOneUser.password);
        if (!isPasswordValid) {
            return res.status(403).json({
                success: false,
                message: `请输入正确的账号信息`
            });
        }

        // 密码校验通过后再签发JWT、返回成功响应
        const authData = { id: thatOneUser.id };
        const authToken = jwt.sign(authData, JWT_SECRET);

        return res.json({ success: true, message: '登录成功', authToken });
    } catch (error) {
        // 加return阻断后续逻辑，避免重复发送响应
        return res.status(500).json({
            success: false,
            message: '登录过程发生错误',
            error,
        });
    }
});

修复后fetchUser中间件代码 #

const jwt = require('jsonwebtoken');
const JWT_SECRET = 'jwtsecretabc123';

const fetchUser = (req, res, next) => {
    const token = req.header('auth-token');

    if (!token)
        return res.status(401).json({
            success: false,
            message: '请使用有效令牌完成认证',
        });

    try {
        const decoded = jwt.verify(token, JWT_SECRET);
        // 与JWT签发的payload结构对齐，读取id字段
        req.user = { id: decoded.id };
        next();
    } catch (error) {
        return res
            .status(401)
            .json({ success: false, message: '令牌解析失败' });
    }
};

module.exports = fetchUser;

编码规范提示 #

• 所有发送HTTP响应的分支都要加return，阻断后续逻辑执行，避免重复发送响应
• Mongoose查询单条文档优先使用findOne，不要使用find返回数组后再手动取第一项
• 异步逻辑统一使用async/await写法，不要混用回调与同步逻辑，避免时序混乱
• JWT签发时的payload结构要与中间件解析时的取值逻辑保持一致，避免字段不匹配导致鉴权失败

内容的提问来源于stack exchange，提问作者Ali Bin Naseer