如何在Mongo项目中为Password、Email两个属性使用bcrypt

核心实现逻辑 #

bcrypt.hash为返回Promise的异步方法，要同时对两个字段做哈希处理，最合理的方式是通过Promise.all并行执行两个独立的哈希计算，避免串行等待拖慢接口响应，相比嵌套回调的写法也更易维护。
修正后的可直接复用的代码如下：

exports.signup = (req, res, next) => {
  // 并行计算两个字段的bcrypt哈希值
  Promise.all([
    bcrypt.hash(req.body.password, 10),
    bcrypt.hash(req.body.email, 10)
  ])
    // 解构拿到两个独立的哈希结果
    .then(([passwordHash, emailHash]) => {
      const user = new User({
        email: emailHash,
        password: passwordHash
      });
      // 链式返回数据库存储的Promise，避免嵌套
      return user.save();
    })
    .then(() => res.status(201).json({ message: 'Utilisateur créé' }))
    .catch(error => {
      // 拆分错误码：数据库层面的校验、唯一索引冲突返回400，哈希计算等内部错误返回500
      if (error.code === 11000 || error.name === 'ValidationError') {
        return res.status(400).json({ error });
      }
      res.status(500).json({ error });
    });
};

关键注意事项 #

• bcrypt的算法特性决定了它不适合直接用于Email字段加密：bcrypt每次计算会自动生成随机盐，同一原始邮箱哪怕内容完全一致，每次生成的哈希结果都不相同
• 如果后续需要通过邮箱检索用户、做登录环节的账号匹配，这种加密方式无法直接完成等值查询——因为存储在库里的邮箱哈希，和用户输入的邮箱计算出来的哈希永远无法匹配
• 有邮箱检索需求的场景，更合理的方案是：邮箱用带固定密钥的单向摘要算法做哈希，生成的固定值用于等值匹配查询，密码才用带随机盐的bcrypt慢哈希做加密存储

内容的提问来源于stack exchange，提问作者user15121115