Grails中通过createorg表单创建用户后无法登录问题

这种情况我之前碰到过好几次，核心问题基本都是两种创建用户的方式，密码存储逻辑不一致——Bootstrap创建的用户密码是加密后存入数据库的，而通过createorg表单创建的用户密码大概率是明文存储的，导致登录时系统加密输入的密码后，和数据库里的明文无法匹配，就会弹出“找不到该用户名和密码”的提示。咱们一步步来排查修复：

1. 先规范表单的密码字段（非核心但必要） #

看你给出的代码片段里，密码字段用的是<g:textField>，建议改成<g:passwordField>，这是表单密码输入的规范写法，避免输入时明文显示：

<h3>Enter Password</h3>
<g:passwordField name="password" placeholder="Enter Password"/><br>

2. 重点检查用户保存时的密码加密逻辑 #

首先看你的User域类，Bootstrap里创建用户时肯定做了密码加密，比如域类里会有这样的钩子方法（自动在插入/更新前加密密码）：

class User {
    String username
    String password

    static constraints = {
        // 你的字段约束配置
    }

    // 插入用户前自动加密密码
    def beforeInsert() {
        password = BCrypt.hashpw(password, BCrypt.gensalt())
    }

    // 更新用户时，如果密码修改了就重新加密
    def beforeUpdate() {
        if (isDirty('password')) {
            password = BCrypt.hashpw(password, BCrypt.gensalt())
        }
    }
}

现在去看你的saveorg action，是不是直接把表单提交的明文密码存进数据库了？比如如果你的action是这样写的：

def saveorg() {
    def user = new User(params)
    if (user.save(flush: true)) {
        // 跳转成功页面
    } else {
        // 处理保存失败逻辑
    }
}

这种情况下，如果beforeInsert钩子没有被正确触发（或者你根本没写这个钩子），密码就会以明文存储，和Bootstrap创建的加密密码不兼容。

修复方法： #

• 如果已经有beforeInsert钩子：确认saveorg里创建用户时没有手动覆盖加密逻辑，比如不要在user.save()前又给password赋值明文。
• 如果没有钩子：在saveorg里手动对密码加密后再保存：

import org.mindrot.jbcrypt.BCrypt

def saveorg() {
    def userParams = params.clone()
    // 对表单提交的明文密码进行加密
    userParams.password = BCrypt.hashpw(userParams.password, BCrypt.gensalt())
    def user = new User(userParams)
    if (user.save(flush: true)) {
        redirect(action: 'login')
    } else {
        render(view: 'createorg', model: [user: user])
    }
}

3. 验证数据库中的密码存储情况 #

直接去数据库查看两种方式创建的用户password字段值：

• Bootstrap创建的用户：密码应该是一串带$2a$前缀的加密字符串（比如$2a$10$xxxxxx...）。
• createorg表单创建的用户：如果是明文，那就是你输入的密码原文。
  如果确实是明文，那肯定是加密环节出了问题，按照上面的方法修复即可。

4. 确认登录验证逻辑（辅助排查） #

确保登录时的验证逻辑是用加密后的密码对比，比如登录action应该是这样的：

def login() {
    def user = User.findByUsername(params.username)
    if (user && BCrypt.checkpw(params.password, user.password)) {
        // 登录成功，存入session等操作
        redirect(action: 'dashboard')
    } else {
        flash.message = "找不到该用户名和密码"
        render(view: 'login')
    }
}

如果登录时是直接对比明文，那Bootstrap创建的加密密码反而会登录失败，这和你的情况相反，所以大概率不是这个问题，但也可以快速确认下。

内容的提问来源于stack exchange，提问作者AB21