使用bcrypt能否生成相同密码哈希？oauth2-server场景咨询

嘿，我来帮你理清楚这个问题～首先得明确：bcrypt本身没办法生成固定的哈希值，这是它的设计特性——每次调用hashSync时，它都会自动生成一个随机的盐值，然后把盐和密码一起哈希，所以相同密码每次的结果自然不一样。不过你别担心，bcrypt的哈希字符串里其实已经包含了盐信息，验证的时候用bcrypt.compareSync(password, hash)就能正确匹配，根本不需要哈希值相同。

但你的情况特殊：oauth2-server内部处理哈希比较，没法自定义验证逻辑，所以必须要能生成固定哈希的方案。那给你推荐两个靠谱的替代方案：

1. 用Node.js内置的crypto模块（无需额外安装） #

Node.js自带的crypto支持多种哈希算法，比如SHA-256，你可以指定一个固定的盐来生成一致的哈希。示例代码：

const crypto = require('crypto');

// 生成固定哈希的函数
function getFixedHash(password, fixedSalt) {
  return crypto.createHash('sha256')
    .update(password + fixedSalt)
    .digest('hex');
}

// 注意：这个盐要固定保存，别随便改，最好存在环境变量里，别硬编码
const myFixedSalt = 'your-super-secret-fixed-salt-here';
const hash = getFixedHash('user-password', myFixedSalt);

小提示：盐一定要保密，别泄露出去，不然哈希的安全性会大打折扣。

2. 用pbkdf2（同样是Node.js内置，更适合密码场景） #

pbkdf2是专门为密码哈希设计的算法，支持迭代次数，比单纯的SHA更抗暴力破解，同样可以指定固定盐生成一致结果：

const crypto = require('crypto');

function generatePbkdf2Hash(password, fixedSalt) {
  // 参数分别是：密码、盐、迭代次数、哈希长度、哈希算法
  return crypto.pbkdf2Sync(password, fixedSalt, 100000, 64, 'sha512')
    .toString('hex');
}

const myFixedSalt = 'your-secret-fixed-salt';
const hash = generatePbkdf2Hash('user-password', myFixedSalt);

这个方案比单纯的SHA更安全，更推荐用于密码存储。

最后说一句：别想着去修改bcrypt来生成固定哈希，它的随机盐是核心安全特性，强行固定盐会让它失去防彩虹表攻击的能力，反而不安全。

内容的提问来源于stack exchange，提问作者Tavish Aggarwal