Node.js密码重置后新密码未存入MongoDB 仅旧密码可登录

• 完全静默吞掉了user.save()过程中的所有错误：现在的代码在save回调里没有做任何错误判断，只要save因为校验不通过、逻辑异常、字段权限问题执行失败，代码依然会顺着流程走登录、发邮件、重定向的步骤，用户端看起来操作全程走完了，实际上数据库根本没完成新密码的写入，自然还是旧密码能登录。
• 直接给user.password赋明文值的写法存在连锁逻辑问题：
  1. 绝大多数Node.js项目的Account/用户模型都会在schema层配置password字段的预保存（pre-save）钩子，用来自动把明文密码转成哈希值存储，钩子内部一般会加判断if (!user.isModified('password')) return next()。如果这里赋值的内容不符合schema要求的类型、长度规则，Mongoose会直接拦截save操作，这部分错误你没有捕获，就会出现“流程走通但数据没存进去”的假象。
  2. 你注释掉的user.password = hashedPassword;行是之前手动哈希密码的逻辑，现在改成直接塞明文就算真的存进去了，登录环节因为是拿用户输入的密码和库里的哈希值做比对，也会出现新密码登录失败的问题。结合你描述的“旧密码依然有效”，可以确定数据库里的password字段压根就没被更新，属于典型的静默写入失败。
• 容易被忽略的前置依赖问题：如果路由上层没有配置express.urlencoded({ extended: true })中间件，req.body会是undefined，给user.password赋值的就是空值，save的时候会触发password字段的非空校验失败，同样会出现写入不生效的问题。

• 补全save环节的错误透传，不要静默吞错：

user.save(function(err) {
  if (err) return done(err); // 把save的错误直接抛到流程终点，触发最终的错误处理逻辑，不要继续走后续步骤
  req.logIn(user, function(err) {
    done(err, user);
  });
});

• 确认Account模型的密码哈希钩子逻辑正确，举个标准的bcrypt哈希钩子参考：

// 写在Account模型的schema定义里
accountSchema.pre('save', async function(next) {
  // 只有密码字段被修改过才重新哈希
  if (!this.isModified('password')) return next();
  this.password = await bcrypt.hash(this.password, 10);
  next();
});

• 加调试日志定位实际入参：在给user.password赋值的位置，打印一下收到的新密码值、Mongoose的字段修改标记状态，确认是不是前端没正确传新密码、或者赋值之后Mongoose没识别到字段修改，导致跳过了保存逻辑：

console.log('收到的新密码：', req.body.password);
console.log('密码字段是否被标记为修改：', user.isModified('password'));
user.password = req.body.password;

• 检查全局中间件配置，确保post请求的表单数据能被正确解析到req.body上，避免拿到空值触发校验失败。

内容的提问来源于stack exchange，提问作者Masoman