Node.js 中使用 bcryptjs 安全地存储与验证用户密码

npm install bcryptjs

const bcrypt = require('bcryptjs'); // 引入 bcryptjs

// signup endpoint
app.post('/signup', async (req, res) => {
  try {
    const { 
      firstName, 
      lastName, 
      email, 
      role,
      password 
    } = req.body;

    // 检查邮箱是否已存在
    const existingUser = await User.findOne({ email });
    if (existingUser) {
      return res.status(400).json({ message: 'Email already exists' });
    }

    // 设置默认密码（生产环境不推荐，应强制用户提供密码）
    let plainTextPassword = password;
    if (!plainTextPassword) {
      plainTextPassword = 'defaultPassword123';
    }

    // 对密码进行哈希处理
    // bcryptjs.hash() 方法可以直接接受明文密码和盐轮数 (saltRounds)
    // saltRounds 决定了哈希的计算强度，推荐值为 10-12
    const saltRounds = 10; 
    const hashedPassword = await bcrypt.hash(plainTextPassword, saltRounds);

    // 创建新用户对象
    const newUser = new User({
      firstName,
      lastName,
      email,
      role,
      password: hashedPassword, // 存储哈希后的密码
    });

    // 保存用户到数据库
    await newUser.save();

    // 生成 JWT 等后续认证逻辑
    const token = jwt.sign({ email: newUser.email }, secretKey);
    const expirationDate = new Date().getTime() + 3600000; // 1小时过期

    const userResponse = {
      firstName: newUser.firstName,
      lastName: newUser.lastName,
      email: newUser.email,
      role: newUser.role,
      id: newUser._id,
      _token: token,
      _tokenExpirationDate: expirationDate,
    };

    res.status(201).json(new AuthResponseData(userResponse));
  } catch (error) {
    console.error('Error during signup:', error);
    res.status(500).json({ message: 'Internal server error' });
  }
});

// Login endpoint
app.post('/login', async (req, res) => {
  try {
    const { email, password: userEnteredPassword } = req.body; // 重命名 password 以避免混淆

    // 在数据库中查找用户
    const user = await User.findOne({ email });
    if (!user) {
      // 用户不存在，返回通用错误消息以避免泄露用户信息
      return res.status(401).json({ message: 'Invalid email or password' });
    }

    const hashedPasswordFromDb = user.password;

    // 比较用户输入的密码和数据库中存储的哈希密码
    // bcryptjs.compare() 也是一个异步操作
    const passwordMatch = await bcrypt.compare(userEnteredPassword, hashedPasswordFromDb);

    if (!passwordMatch) {
      // 密码不匹配
      return res.status(401).json({ message: 'Invalid email or password' });
    }

    // 密码匹配成功，生成 JWT
    const token = jwt.sign({ email: user.email }, secretKey);
    const expirationDate = new Date().getTime() + 3600000; // 1小时过期

    const loggedInUser = {
      firstName: user.firstName,
      lastName: user.lastName,
      email: user.email,
      role: user.role,
      id: user._id,
      _token: token,
      _tokenExpirationDate: expirationDate,
    };

    res.status(200).json(new AuthResponseData(loggedInUser));
  } catch (error) {
    console.error('Error during login process:', error);
    res.status(500).json({ message: 'Internal server error' });
  }
});