Apache Guacamole数据库迁移后登录失败：密码验证逻辑排查求助

看起来你已经对照Guacamole的官方密码哈希逻辑实现了验证和生成函数，但还是遇到了登录凭证无效的问题，我可以给你一些针对性的排查方向和实操建议：

一、先验证你的密码哈希函数是否本身正确 #

首先要排除函数逻辑本身的问题，你可以用固定测试用例来验证：

1. 新建一个简单的测试脚本，比如test-hash.js：

const crypto = require('crypto');
const { verifyGuacamolePassword, createGuacamolePassword } = require('./hash.js');

// 测试固定salt和密码的情况
const testSaltHex = '0000000000000000000000000000000000000000000000000000000000000000';
const testPassword = 'guacadmin';
// 预期的哈希值（通过标准SHA256计算得到）
const expectedHashHex = '7c9e0baf62798951e3b7e27248e2e73e4c6a385a6a9e48a2f6e3d9e1b5e0a1d2';

// 验证函数是否返回true
const isValid = verifyGuacamolePassword(testPassword, testSaltHex, expectedHashHex);
console.log('固定测试用例验证结果:', isValid);

// 测试生成密码后再验证的流程
const { saltHex, hashHex } = createGuacamolePassword('test123456');
const selfTestValid = verifyGuacamolePassword('test123456', saltHex, hashHex);
console.log('自生成密码验证结果:', selfTestValid);

• 如果这两个测试用例都返回true，说明你的函数逻辑是正确的，问题出在数据库数据读取或导入环节；
• 如果测试用例返回false，说明你的函数存在逻辑错误，需要重新核对Guacamole的官方哈希逻辑（注：Guacamole的逻辑确实是SHA256(salt字节 + 密码UTF-8字节)，你的update顺序是对的）。

二、排查数据库导入与数据读取环节 #

如果函数本身没问题，重点检查数据相关的问题：

1. 核对数据库中存储的salt和哈希值是否与原库一致

   • 直接对比原Guacamole数据库和你的数据库中user表（或对应表）的salt和password_hash字段值，确保导入后没有截断、乱码或大小写变化；
   • 注意：Guacamole的salt是32字节，转成十六进制是64个字符，password_hash也是32字节（64个十六进制字符），如果你的数据库字段类型是VARCHAR(60)这类长度不足的类型，会导致数据被截断，必须用VARCHAR(64)或CHAR(64)。

2. 检查数据读取时的参数是否正确

   • 确认你在调用verifyGuacamolePassword时，传入的三个参数顺序是用户输入的明文密码、数据库取出的salt、数据库取出的password_hash，有没有出现参数传反（比如把哈希当成salt传入）的情况；
   • 检查是否读取了错误的字段，比如误把其他字段当成了salt或password_hash。

3. 排查字符集与编码问题

   • 确认你的数据库字符集与原Guacamole一致（推荐utf8mb4），避免因字符集不兼容导致salt或password_hash的十六进制字符串出现乱码；
   • 检查用户输入的密码是否有前后空格，可以在验证前对输入密码做trim()处理：verifyGuacamolePassword(password.trim(), saltHex, storedHashHex)。

三、运行时日志排查 #

利用你代码中的错误日志，定位具体问题：

• 当用户尝试登录时，查看控制台是否输出Invalid SaltHex format的错误，如果有，说明从数据库读取的salt不是有效的十六进制字符串，大概率是导入或存储时出现了问题；
• 如果有其他异常日志，根据日志信息定位问题（比如Buffer转换失败、正则匹配失败等）。

四、极端情况排查 #

• 如果你用的是原Guacamole的默认admin账号（用户名guacadmin，默认密码guacadmin），可以手动计算其哈希值：用salt和guacadmin密码按照你的函数逻辑计算，对比数据库中的password_hash是否一致；
• 尝试在你的系统中新建一个用户（用createGuacamolePassword生成salt和哈希并存入数据库），然后用该用户登录，如果能成功，说明原数据库的dump数据存在问题，需要重新导入或修复。

内容来源于stack exchange