为什么我从bcrypt compare得到isMatch null,即使两个密码字符串完全匹配？

Question

我正在尝试根据密码对用户进行身份验证。我正在使用bcrypt compare来比较用户请求的密码和mongodb中的一个，但是即使两个密码完全匹配，我也得到了空值，下面是我正在尝试的代码

userSchema.methods.comparePassword = function (passw, cb) {
    var user = this;
    console.log((passw === user.password) ? 'passwords match' : 'passwords dont match' );
    bcrypt.compare(passw, user.password, function (err, isMatch) {
        console.log(passw +" "+ user.password +" " +isMatch )
        if(err) {
            return cb(err)
        }
        cb(null, isMatch)
    })
}

我得到的控制台输出如下所示

sh37xb sh37xb空

其中包括用户输入的密码、该用户在数据库中的密码以及isMatch值,而isMatch值为null,因为两个密码完全匹配,所以必须相反。当我用三进制条件检查这个密码时，它显示“密码匹配”，但不是用bcrypt.compare。我做错了什么？有谁能帮我指出我的错误吗？？

Answer 1

bcrypt.compare的第二个参数应该是散列的，而不是纯文本字符串。

Bcrypt compare不将纯文本密码与另一个纯文本密码进行比较。它计算纯文本密码的哈希值，并将其与作为第二个参数提供的先前哈希值进行比较，以查看哈希值是否匹配。

使用bcrypt compare的典型原因是它比字符串比较更安全。要使其为真，密码数据库需要包含散列密码，而不是纯文本密码。一个纯文本密码的数据库是一个诱人的东西窃取。散列字符串的数据库就不那么有用了。

bcrypt的npm页面给出了以下示例：

To check a password:
// Load hash from your password DB.
bcrypt.compare(myPlaintextPassword, hash, function(err, result) {
    // result == true
});
bcrypt.compare(someOtherPlaintextPassword, hash, function(err, result) {
    // result == false
});