如何在实现Sequelize模型字段加解密的同时保证唯一校验有效性

问题核心原因 #

带随机初始化向量(IV)或随机盐的加密方案会导致同一明文每次加密生成的密文完全不同，Sequelize内置的唯一校验逻辑仅能比对数据库存储的密文，无法识别明文重复的情况。同时beforeValidate/afterValidate钩子的执行时机和Sequelize内置校验逻辑的执行顺序不匹配，也会导致校验失效。

可行实现方案 #

核心思路是新增明文的不可逆哈希字段作为唯一校验依据，调整加解密钩子的执行时机：

• 步骤1：为Users模型新增2个辅助字段，存储明文的加盐哈希值
  哈希值仅用于唯一校验，不需要可逆，选择固定全局盐（从环境变量读取，不要和加密密钥共用）的SHA-256算法即可，同一明文生成的哈希值唯一固定。
  模型字段定义示例：

  const Users = sequelize.define('Users', {
    // 原有加密存储字段
    username: {
      type: DataTypes.STRING,
      // 不要在这里加unique约束，密文不具备唯一参考性
      allowNull: false
    },
    email: {
      type: DataTypes.STRING,
      allowNull: false
    },
    // 新增哈希校验字段
    username_hash: {
      type: DataTypes.STRING,
      unique: true, // 唯一约束加在哈希字段上
      allowNull: false
    },
    email_hash: {
      type: DataTypes.STRING,
      unique: true,
      allowNull: false
    }
  })
  

• 步骤2：调整钩子逻辑，分离哈希计算、校验、加解密的执行时机
  1. beforeValidate钩子：计算待写入明文的哈希值，赋值给哈希字段，此时Sequelize会自动校验哈希字段的唯一性，对应明文的唯一性
  2. beforeCreate/beforeUpdate钩子：对明文的username、email做加密处理，写入数据库
  3. afterFind钩子：对查询返回的username、email字段做解密处理，返回明文给业务层
     钩子示例代码：

  const crypto = require('crypto')
  // 固定哈希盐，从环境变量读取
  const HASH_SALT = process.env.USER_DATA_HASH_SALT
  // 加密解密工具函数自行实现，此处省略
  const { encrypt, decrypt } = require('./your-crypto-utils')
  
  // 校验前计算哈希
  Users.beforeValidate(async (user) => {
    // 仅当字段修改时重新计算哈希
    if (user.changed('username')) {
      user.username_hash = crypto.createHmac('sha256', HASH_SALT)
        .update(user.username)
        .digest('hex')
    }
    if (user.changed('email')) {
      user.email_hash = crypto.createHmac('sha256', HASH_SALT)
        .update(user.email)
        .digest('hex')
    }
  })
  
  // 写入数据库前加密敏感字段
  Users.beforeCreate(async (user) => {
    user.username = encrypt(user.username)
    user.email = encrypt(user.email)
  })
  Users.beforeUpdate(async (user) => {
    if (user.changed('username')) user.username = encrypt(user.username)
    if (user.changed('email')) user.email = encrypt(user.email)
  })
  
  // 查询后解密敏感字段
  Users.afterFind(async (user) => {
    if (!user) return
    // 处理批量查询的情况
    if (Array.isArray(user)) {
      return user.forEach(item => {
        item.username = decrypt(item.username)
        item.email = decrypt(item.email)
      })
    }
    user.username = decrypt(user.username)
    user.email = decrypt(user.email)
  })
  

• 步骤3：调整业务查询逻辑
  后续需要根据username、email查询用户时，先计算明文对应的哈希值，通过username_hash/email_hash字段查询，不要直接查询加密后的username/email字段。

内容的提问来源于stack exchange，提问作者Anthocnt