安全地比较存储的哈希密码与用户输入的密码

npm uninstall bcrypt
npm install bcryptjs

const bcrypt = require('bcryptjs'); // 引入 bcryptjs

// ... 其他代码 ...

// Signup endpoint
app.post('/signup', async (req, res) => {
    try {
        const { 
            firstName, 
            lastName, 
            email, 
            role,
            password } = req.body;

        const existingUser = await User.findOne({ email });
        if (existingUser) {
            return res.status(400).json({ message: 'Email already exists' });
        }

        let plainTextPassword = password;
        if (!plainTextPassword) {
            plainTextPassword = 'defaultPassword123'; // 生产环境中应避免设置默认密码
        }

        // 使用 bcryptjs 异步生成盐并哈希密码
        const hashedPassword = await bcrypt.hash(plainTextPassword, 10); // 10 是工作因子，代表计算强度

        // 创建新用户对象
        const newUser = new User({
            firstName,
            lastName,
            email,
            role,
            password: hashedPassword, // 存储哈希后的密码
        });

        // 保存用户到数据库
        await newUser.save();

        // ... 生成 JWT 和返回响应 ...
        const token = jwt.sign({ email: newUser.email }, secretKey);
        const expirationDate = new Date().getTime() + 3600000;
        const user = {
            firstName: newUser.firstName,
            lastName: newUser.lastName,
            email: newUser.email,
            role: newUser.role,
            id: newUser._id,
            _token: token,
            _tokenExpirationDate: expirationDate,
        };
        const authResponse = new AuthResponseData(user);
        res.status(201).json(authResponse);

    } catch (error) {
        console.error('Signup error:', error);
        res.status(500).json({ message: 'Internal server error' });
    }
});

const bcrypt = require('bcryptjs'); // 引入 bcryptjs

// ... 其他代码 ...

// Login endpoint
app.post('/login', async (req, res) => {
    try {
        const { email, password } = req.body; // 用户输入的邮箱和明文密码

        // 1. 根据邮箱查找用户
        const user = await User.findOne({ email });
        if (!user) {
            // 注意：为了安全，登录失败时应返回通用错误信息，避免泄露用户是否存在
            return res.status(401).json({ message: 'Invalid email or password' });
        }

        // 2. 获取数据库中存储的哈希密码
        const hashedPasswordFromDb = user.password;

        // 3. 比较用户输入的明文密码与数据库中的哈希密码
        // bcryptjs.compare 是一个异步函数
        const passwordMatch = await bcrypt.compare(password, hashedPasswordFromDb);

        if (!passwordMatch) {
            return res.status(401).json({ message: 'Invalid email or password' });
        }

        // 4. 密码匹配成功，生成 JWT 并返回用户数据
        const token = jwt.sign({ email: user.email }, secretKey);
        const expirationDate = new Date().getTime() + 3600000; // JWT有效期1小时

        const loggedInUser = {
            firstName: user.firstName,
            lastName: user.lastName,
            email: user.email,
            role: user.role,
            id: user._id,
            _token: token,
            _tokenExpirationDate: expirationDate,
        };

        const authResponse = new AuthResponseData(loggedInUser);
        res.status(200).json(authResponse);

    } catch (error) {
        console.error('Login error:', error);
        res.status(500).json({ message: 'Internal server error' });
    }
});