Node.js应用存储argon2哈希至PostgreSQL报错：invalid message format

首先，你遇到的这个问题核心原因是二进制哈希数据的不当处理+不安全的SQL字符串拼接——sodium-native生成的argon2哈希是Buffer类型，直接把它塞进模板字符串会被转换成包含不可打印控制字符的乱码字符串，PostgreSQL接收到这类不符合格式的数据后就会抛出错误。

下面是一步步的解决方案：

1. 先将二进制哈希转为安全的字符串编码 #

argon2哈希是二进制数据，不能直接转普通字符串存储。你需要把它转换成Base64或Hex编码的字符串，这样既保证数据完整性，又能被数据库正确解析：

// 假设pwHash是sodium-native生成的Buffer类型哈希
const encodedHash = pwHash.toString('base64'); // 也可以选择'hex'编码

2. 彻底抛弃SQL字符串拼接，改用参数化查询 #

直接拼接SQL不仅会引发当前的格式问题，还会带来致命的SQL注入漏洞！PostgreSQL的Node.js驱动（比如pg库）支持参数化查询，能自动处理数据类型转换，从根源避免这类问题：

const { Client } = require('pg');
const client = new Client(/* 你的数据库配置 */);

async function createUser(email, name, pwHash) {
  // 先编码哈希
  const encodedHash = pwHash.toString('base64');
  // 使用$1/$2/$3作为参数占位符
  const query = `INSERT INTO users (email, name, password) VALUES ($1, $2, $3)`;
  const values = [email, name, encodedHash];
  
  try {
    await client.query(query, values);
    console.log('用户创建成功');
  } catch (err) {
    console.error('存储用户失败:', err);
  }
}

3. 确认数据库字段类型匹配 #

确保你的users表中password字段的类型是TEXT或者VARCHAR(255)（Base64编码的argon2哈希长度大概在100字符左右，255长度完全足够），不需要用二进制类型，字符串编码更方便后续的密码验证操作。

密码验证时的反向处理 #

当用户登录需要验证密码时，记得从数据库取出编码后的哈希字符串，再转回Buffer进行验证：

async function verifyPassword(email, inputPassword) {
  const query = `SELECT password FROM users WHERE email = $1`;
  const result = await client.query(query, [email]);
  
  if (result.rows.length === 0) return false;
  
  // 将数据库中的字符串转回Buffer
  const storedHash = Buffer.from(result.rows[0].password, 'base64');
  // 用sodium-native的验证方法对比
  return sodium.crypto_pwhash_str_verify(storedHash, Buffer.from(inputPassword));
}

总的来说，只要把二进制哈希转成安全的字符串编码，再配合参数化查询，就能完美解决这个格式错误，同时还能提升应用的安全性。

内容的提问来源于stack exchange，提问作者Marvin H.