基于Node.js、MongoDB和Passport(JWT)的应用密码修改方法咨询

嘿，我来帮你搞定密码修改的功能！结合你现有的JWT+Passport身份认证逻辑，咱们可以按照以下步骤来实现，完全贴合你现有的代码风格：

1. 先保护密码修改接口 #

首先，密码修改必须是已登录用户才能操作，所以要用Passport的JWT策略来保护这个路由，确保只有携带有效JWT的请求才能进入：

// 假设你用的是Express路由
router.put('/change-password', passport.authenticate('jwt', { session: false }), changePassword);

2. 编写密码修改的核心逻辑 #

接下来是changePassword函数的实现，核心思路是：验证旧密码合法性 → 哈希新密码 → 更新用户密码。结合你用的findOneAsync和comparePassword方法，代码可以这么写：

function changePassword(req, res, next) {
  const { oldPassword, newPassword } = req.body;

  // 从JWT解析出的用户信息里获取唯一标识（比如id或者email）
  const userId = req.user.id; // 这里假设你的JWT payload里存了用户id

  // 查询用户并获取密码字段（注意要加+password，因为默认可能不返回）
  UserSchema.findOneAsync({ _id: userId }, '+password')
    .then((user) => {
      if (!user) {
        const err = new APIError('User not found', httpStatus.NOT_FOUND);
        return next(err);
      }

      // 验证旧密码是否匹配
      user.comparePassword(oldPassword, (passwordError, isMatch) => {
        if (passwordError) {
          return next(new APIError('Password verification failed', httpStatus.BAD_REQUEST));
        }

        if (!isMatch) {
          return next(new APIError('Old password is incorrect', httpStatus.UNAUTHORIZED));
        }

        // 旧密码正确，设置新密码（这里假设你的UserSchema有pre-save钩子自动哈希密码）
        user.password = newPassword;
        return user.saveAsync();
      });
    })
    .then((updatedUser) => {
      // 注意：返回用户信息时不要包含密码字段
      const userResponse = updatedUser.toObject();
      delete userResponse.password;
      res.status(httpStatus.OK).json({
        message: 'Password changed successfully',
        user: userResponse
      });
    })
    .catch((err) => {
      next(new APIError('Failed to update password', httpStatus.INTERNAL_SERVER_ERROR));
    });
}

3. 关键注意事项 #

• 密码哈希自动处理：确保你的UserSchema有一个pre('save')钩子，在保存时自动对password字段进行哈希（就像你登录时验证密码的逻辑对应），比如：

  UserSchema.pre('save', function(next) {
    const user = this;
    if (!user.isModified('password')) return next();
    bcrypt.hash(user.password, 10, (err, hash) => {
      if (err) return next(err);
      user.password = hash;
      next();
    });
  });
  

• 新密码复杂度校验：建议在接口入口处添加新密码的规则校验（比如长度至少8位、包含大小写字母和数字），避免用户设置弱密码。
• JWT失效建议：密码修改成功后，最好让用户重新登录（或者实现JWT黑名单机制，将旧的JWT标记为无效），防止旧的JWT被滥用。
• 错误处理：按照你的现有风格，统一用APIError来抛出错误，保持代码一致性。

内容的提问来源于stack exchange，提问作者Anjal Saneen