重置密码接口返回成功但MongoDB密码未更新及优化咨询

接口返回成功但数据库密码未更新，是代码中多处Mongoose用法、异步逻辑、参数写法错误共同导致的，具体问题点：

• Schema字段定义错误：UserSchema中resetLink: { data: String, default: "" }的写法是错的，Mongoose Schema中字段类型需要用type关键字声明，你当前写法定义的resetLink是一个包含data属性的对象，直接给resetLink赋值字符串时类型不匹配，值无法被正常写入数据库。正确定义应该是resetLink: { type: String, default: "" }。
• 重置密码POST接口user.save()用法完全错误：Mongoose的document.save()方法不接收更新字段作为入参，你写的await user.save({ password: hash })传入的参数会被直接忽略，相当于没有对user实例做任何修改就执行保存，数据库自然不会更新。
• 变量声明与参数解构错误：
  • 重置密码接口中const { password } = req.body.password;、const { password2 } = req.body.password2;写法错误，相当于取req.body.password.password这类不存在的嵌套字段，实际拿到的是undefined；后续又重复声明const password = req.body.password2，存在作用域冲突。
  • 忘记密码接口中const { email } = req.body.email;同样是解构错误，取到的是undefined值。
• 异步逻辑未等待执行完成：
  • 忘记密码接口中user.updateOne({ resetLink: token })没有加await，且updateOne用法错误——document实例的updateOne第一个参数是查询条件，第二个参数才是待更新的内容，你当前写法没有传入任何更新字段，resetLink根本不会被写入数据库。
  • 忘记密码接口中transporter.sendMail()没有加await，邮件发送可能失败但接口无感知。
  • 忘记密码接口在执行完发邮件、存resetLink逻辑之前就调用了res.send()，Express中res.send()执行后会结束本次请求响应流程，后续异步操作可能被中断，抛出的异常也不会返回给前端。
• bcrypt回调嵌套中没有捕获错误：如果hash过程出现异常，接口会直接挂死，既不会返回错误也不会执行保存逻辑。

这行是后端模板渲染逻辑，仅适用于使用EJS、Pug、Handlebars等服务端模板引擎的项目：当用户点击重置密码链接时，后端直接拼接好重置密码表单的HTML页面返回给浏览器，同时把用户邮箱注入到页面中预填充表单。
如果你后续用Angular作为前端技术栈，这行代码完全可以删除，调整逻辑为：

• GET接口仅负责校验链接中的id、token是否合法有效，校验通过返回200状态即可，不需要返回页面
• 前端Angular路由拿到链接中的id、token参数后，先调用GET接口确认链接有效，再跳转到Angular项目内自带的重置密码表单页，由前端负责页面渲染和表单提交。

当前实现存在多处高危安全风险，必须调整：

• 重置令牌明文存储风险：你现在把JWT重置令牌明文存在resetLink字段，一旦数据库泄露，攻击者可以直接用未过期的令牌重置任意用户密码。优化方案：生成令牌后，用sha256对令牌做一次哈希，把哈希值存在数据库，校验时将用户传入的令牌做哈希后和库中值比对，和密码存储逻辑一致。
• 重置令牌可重复使用风险：当前令牌在15分钟有效期内可以无限次使用，且密码重置完成后没有作废令牌。优化方案：密码更新成功后立刻将用户的resetLink字段置空；校验令牌时必须额外比对库中存储的令牌哈希和当前传入令牌的哈希是否一致，避免旧令牌、未申请过的令牌被滥用。
• 用户枚举漏洞：忘记密码接口在邮箱不存在时直接返回"User doesn't exist"，攻击者可以批量遍历邮箱确认哪些账号已注册。优化方案：不管邮箱是否存在，都统一返回"如果该邮箱已注册，重置链接已发送至对应邮箱"的提示，不暴露账号存在性信息。
• 密码校验缺失：当前没有实现两次密码一致性校验，也没有密码强度规则。优化方案：增加两次输入密码的一致性校验，强制密码长度不小于8位，包含数字、字母、特殊字符，禁止弱密码。
• 令牌校验逻辑缺失：当前重置密码接口仅校验JWT是否合法，完全没有校验该令牌是否是当前用户申请的重置令牌，只要拿到用户id和签发给该用户的任意合法JWT（比如历史登录令牌、旧重置令牌）就能重置密码。优化方案：必须增加库中存储的重置令牌哈希比对逻辑，不匹配直接拒绝请求。
• 硬编码风险：重置链接硬编码为http://localhost:3000，生产环境无法正常使用。优化方案：将前端域名、端口做成配置项，生产环境使用HTTPS协议，避免令牌在传输过程中被窃听。
• 回调写法风险：bcrypt使用嵌套回调写法，容易出现错误未捕获、接口挂死的问题。优化方案：改用async/await写法处理bcrypt加密逻辑，所有错误都可以被外层catch统一捕获。

修正后的UserSchema定义 #

const UserSchema = new mongoose.Schema({
  email: { type: String, required: true, min: 6, max: 255 },
  password: { type: String, required: true, min: 4, max: 1024 },
  resetLink: { type: String, default: "" },
});
module.exports = mongoose.model("Users", UserSchema);

重置密码POST接口核心逻辑 #

router.post("/reset-password/:id/:token", async (req, res) => {
  try {
    const { id, token } = req.params;
    // 正确解构请求体参数
    const { password, password2 } = req.body;

    // 基础参数校验
    if (password !== password2) return res.status(400).send("两次输入的密码不一致");
    if (password.length < 8) return res.status(400).send("密码长度不能小于8位");

    const user = await User.findOne({ _id: id });
    if (!user) return res.status(400).send("重置链接无效");

    // 校验JWT合法性
    jwt.verify(token, secretKey);
    // 校验库中存储的重置令牌哈希是否匹配
    const crypto = require('crypto');
    const tokenHash = crypto.createHash('sha256').update(token).digest('hex');
    if (user.resetLink !== tokenHash) return res.status(400).send("重置链接无效或已过期");

    // 加密密码，使用async/await避免回调嵌套
    const salt = await bcrypt.genSalt(saltRounds);
    const hash = await bcrypt.hash(password, salt);
    
    // 正确更新document字段并保存
    user.password = hash;
    // 重置完成后清空令牌，使链接失效
    user.resetLink = "";
    await user.save();

    res.send("密码更新成功");
  } catch (err) {
    res.status(400).json(err);
  }
});

忘记密码接口核心逻辑 #

router.post("/forgot-password", async (req, res) => {
  try {
    const { email } = req.body;
    const user = await User.findOne({ email });
    // 无论用户是否存在都返回统一提示，避免用户枚举
    if (!user) return res.status(200).send("如果该邮箱已注册，重置链接已发送至对应邮箱");

    // 生成重置令牌
    const token = jwt.sign({ userId: user._id }, secretKey, { expiresIn: "15m" });
    // 存储令牌哈希，不存明文
    const crypto = require('crypto');
    const tokenHash = crypto.createHash('sha256').update(token).digest('hex');
    user.resetLink = tokenHash;
    await user.save();

    // 生成前端跳转的重置链接（生产环境替换为配置的前端域名）
    const resetLink = `https://你的前端域名/reset-password/${user._id}/${token}`;

    // 等待邮件发送完成
    let transporter = nodemailer.createTransport({
      host: "你的SMTP服务地址",
      port: 587,
      secure: false,
      auth: {
        user: "你的发件邮箱账号",
        pass: "你的邮箱SMTP授权码",
      },
    });
    await transporter.sendMail({
      from: '"密码重置" <你的发件邮箱>',
      to: email,
      subject: "账号密码重置请求",
      html: `<p>请在15分钟内点击链接重置密码：<a href="${resetLink}">${resetLink}</a></p>`,
    });

    // 所有操作执行完成后再返回成功
    res.send("如果该邮箱已注册，重置链接已发送至对应邮箱");
  } catch (err) {
    res.status(500).json(err);
  }
});

内容的提问来源于stack exchange，提问作者devZ