在 Node.js 中使用 bcrypt 加密密碼的完整指南

async function hashPassword(password: string): Promise<string> {
  const saltRounds = 10; // 工作因子
  try {
    const hash = await bcrypt.hash(password, saltRounds);
    return hash;
  } catch (error) {
    console.error('Error hashing password:', error);
    throw error;
  }
}

// 使用示例
try {
  const hash = await hashPassword('userPassword');
  // 存儲 hash 到數據庫
  console.log('Hashed password:', hash);
} catch (error) {
  // 錯誤處理
}

async function verifyPassword(password: string, hash: string): Promise<boolean> {
  try {
    const isMatch = await bcrypt.compare(password, hash);
    return isMatch;
  } catch (error) {
    console.error('Error verifying password:', error);
    throw error;
  }
}

// 使用示例
try {
  const isValid = await verifyPassword('userPassword', storedHash);
  if (isValid) {
    console.log('Password is correct');
    // 處理登錄成功邏輯
  } else {
    console.log('Password is incorrect');
    // 處理登錄失敗邏輯
  }
} catch (error) {
  // 處理錯誤
  console.error('Password verification failed:', error);
}

import express, { Request, Response } from 'express';
import * as bcrypt from 'bcrypt';
import rateLimit from 'express-rate-limit';

interface User {
  username: string;
  password: string;
}

const app = express();

// 安全中間件配置
app.use(express.json({ limit: '10kb' })); // 限制請求體大小

// 配置速率限制器
const loginLimiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15 分鐘窗口
  max: 5, // 限制每個 IP 15 分鐘內最多 5 次嘗試
  message: '登錄嘗試次數過多，請稍後再試'
});

// 用戶註冊路由
app.post('/register', async (req: Request, res: Response) => {
  try {
    const { username, password }: User = req.body;

    // 輸入驗證
    if (!username || !password) {
      return res.status(400).json({
        status: 'error',
        message: '用戶名和密碼都是必需的'
      });
    }

    // 密碼強度檢查
    if (password.length < 8) {
      return res.status(400).json({
        status: 'error',
        message: '密碼必須至少包含 8 個字符'
      });
    }

    const saltRounds = 10;
    const hash = await bcrypt.hash(password, saltRounds);

    // 將用戶數據保存到數據庫
    // await db.saveUser({
    //   username,
    //   password: hash,
    //   createdAt: new Date(),
    //   lastLogin: null
    // });

    res.status(201).json({
      status: 'success',
      message: '用戶註冊成功'
    });
  } catch (error) {
    console.error('註冊錯誤:', error);
    res.status(500).json({
      status: 'error',
      message: '註冊過程中發生錯誤'
    });
  }
});

// 用戶登錄路由（使用速率限制）
app.post('/login', loginLimiter, async (req: Request, res: Response) => {
  try {
    const { username, password }: User = req.body;

    // 輸入驗證
    if (!username || !password) {
      return res.status(400).json({
        status: 'error',
        message: '用戶名和密碼都是必需的'
      });
    }

    // 從數據庫獲取用戶
    // const user = await db.findUserByUsername(username);
    // if (!user) {
    //   return res.status(401).json({
    //     status: 'error',
    //     message: '認證失敗'
    //   });
    // }

    // 模擬數據庫中的哈希密碼
    const storedHash = '$2b$10$YourStoredHashHere';

    // 使用時間恆定的比較方法
    const isMatch = await bcrypt.compare(password, storedHash);

    if (!isMatch) {
      return res.status(401).json({
        status: 'error',
        message: '認證失敗'
      });
    }

    // 更新最後登錄時間
    // await db.updateLastLogin(user.id);

    // 生成 JWT 令牌（實際應用中應該使用）
    // const token = generateJWT(user);

    res.status(200).json({
      status: 'success',
      message: '登錄成功',
      // token: token
    });
  } catch (error) {
    console.error('登錄錯誤：', error);
    res.status(500).json({
      status: 'error',
      message: '登錄過程中發生錯誤'
    });
  }
});

// 全局錯誤處理中間件
app.use((err: Error, req: Request, res: Response) => {
  console.error('服務器錯誤：', err);
  res.status(500).json({
    status: 'error',
    message: '服務器內部錯誤'
  });
});

const PORT = process.env.PORT || 3000;
app.listen(PORT, () => {
  console.log(`服務器運行在端口 ${PORT}`);
});