nodejs 中的 bcrypt (1) : bcrypt 的特点与应用

左手的ㄟ右手 2022-06-06 08:17 346阅读 0赞

最近重写网站，后端 nodejs + mongoDB 。  
在用户注册登录这一块，采用 bcrypt 加密密码，JWT 认证授权的方案。  
这篇具体说 bcrypt。

## bcrypt 的特点 ##

*  **加盐**  
    
    
     *  由于彩虹表等破解技术只有在所有密码都以相同的方式哈希加密的情况下才有效，bcrypt采用随机加盐后再哈希的方法进行防范。
 *  **慢哈希**  
    
    
     *  加盐哈希仍可能被暴力破解，所以bcrypt有一个可以自定义的参数，该值可以决定哈希函数缓慢的程度，理想的速度是：  
        
        
         *  用户感受不到
         *  试图暴力破解的攻击者受不了

## nodejs 中的 bcrypt ##

之前项目中使用的是[ `bcrypt-nodejs` ][_bcrypt-nodejs_]，该项目改进自[ `node.bcrypt.js` ][_node.bcrypt.js_]，主要优化了后者的依赖占用太多空间的缺点。

不过前者已经不再维护了，其官方推荐使用 [`bcrypt.js` ][bcrypt.js_]。

## bcrypt 在项目中的应用 ##

一个用户注册登录案例（nodejs + mongoDB）：

*  用户注册时，利用 pre 钩子函数，将密码加密存储；
 *  用户登录时，定义如下一个 Schema method 进行比对。

**server/models/user.js**

const bcrypt = require('bcryptjs')
    const mongoose = require('mongoose')
    const Schema = mongoose.Schema
    
    const UserSchema = new Schema(
      {
        username: ...
        ... ...
      },
      {timestamps: true}
    )
    
    // 钩子函数，指定 save() 之前的操作
    UserSchema.pre('save', function (next) {
      const user = this
      // 上文中的“缓慢参数”
      const SALT_FACTOR = 10
      // 随机生成盐
      bcrypt.genSalt(SALT_FACTOR, function (err, salt) {
        if (err) return next(err)
        // 加盐哈希
        bcrypt.hash(user.password, salt, null, function (err, hash) {
          if (err) return next(err)
          user.password = hash
          next()
        })
      })
    })
    
    UserSchema.methods.comparePassword = function (password, cb) {
      // 对比
      bcrypt.compare(password, this.password, function (err, isMatch) {
        if (err) { return cb(err) }
        cb(null, isMatch)
      })
    }
    
    module.exports = mongoose.model('User', UserSchema)

**server/api/login.js**

... ...
        // 对比 用户登录表单中的密码 和 数据库中记录的密码
        user.comparePassword(password, function (err, isMatch) {
                  if (err) { return console.log(err) }
                  // 密码不匹配
                  if (!isMatch) {
                    return res.status(403).json({
                      error: 'invaild username or password'
                    })
                  }
                  // 匹配成功
                  return res.json({
                    user: { ... }
                    token: ...
                  })
                })
    ... ...

代码是跑通了，但还是有很多疑惑没有理清。  
比如：

*  加盐哈希后得到的一长串字符串包含什么信息？
 *  对同一个密码，每次加盐哈希的得到的字符串都不一致，那么比对密码的过程是如何进行的？
 *  对比密码使用的 `bcrypt.compare()` 方法，其参数里并没有 salt 。是这个过程里盐值没用，还是它深藏别处？

写到下一篇里吧。

## 更新： ##

**[nodejs 中的 bcrypt (2) : bcrypt 浅析][nodejs _ bcrypt _2_ _ bcrypt]**

[_bcrypt-nodejs_]: https://github.com/shaneGirish/bcrypt-nodejs
[_node.bcrypt.js_]: https://github.com/kelektiv/node.bcrypt.js
[bcrypt.js_]: https://github.com/dcodeIO/bcrypt.js
[nodejs _ bcrypt _2_ _ bcrypt]: http://blog.csdn.net/Beijiyang999/article/details/78438962