TypeORM与NestJS密码哈希教程详解

文章小白一枚，正在不断学习积累知识，现将学习到的知识记录一下，也是将我的所得分享给大家！而今天这篇文章《TypeORM与NestJS密码自动哈希教程》带大家来了解一下##content_title##，希望对大家的知识积累有所帮助，从而弥补自己的不足，助力实战开发！

本教程详细介绍了如何在TypeORM与NestJS应用中，利用实体生命周期钩子（如`@BeforeInsert()`和`@BeforeUpdate()`）实现用户密码的自动哈希。通过在用户实体中集成`bcrypt`库，我们可以在保存用户模型时，无需手动干预，自动将明文密码转换为安全的哈希值，确保数据存储的安全性与便捷性。

引言：保障用户密码安全与自动化处理

在任何用户认证系统中，妥善存储用户密码是至关重要的安全实践。直接存储明文密码是极其危险的，一旦数据库泄露，所有用户账户都将面临风险。因此，对密码进行哈希处理是行业标准做法。为了提升开发效率并确保一致性，我们通常希望在用户模型持久化到数据库时，能够自动完成密码的哈希过程，而无需在每次保存操作时手动调用哈希函数。

TypeORM作为一款强大的ORM框架，提供了实体生命周期钩子（Entity Lifecycle Hooks），这些钩子允许我们在实体被插入、更新或删除等操作前后执行自定义逻辑。结合NestJS的模块化架构，我们可以优雅地实现密码的自动哈希。

TypeORM实体生命周期钩子概览

TypeORM提供了一系列装饰器，用于标记在特定数据库操作前后执行的方法。其中，对于密码哈希场景，@BeforeInsert()和@BeforeUpdate()是核心。

• @BeforeInsert(): 在实体首次插入数据库之前执行。这非常适合在新用户注册时哈希其密码。
• @BeforeUpdate(): 在实体更新到数据库之前执行。如果用户有修改密码的功能，此钩子可以确保新密码也被正确哈希。

这些钩子会在使用TypeORM的repository.save()或entityManager.save()方法持久化实体时自动触发。需要注意的是，如果直接使用repository.insert()方法，这些钩子将不会被触发，因为insert()方法旨在提供更底层的、性能导向的插入，它会绕过ORM的一些高级特性，包括生命周期事件。因此，在需要触发实体生命周期钩子的场景下，应优先使用save()方法。

实现步骤：在用户实体中集成自动密码哈希

1. 安装密码哈希库

我们将使用bcrypt库进行密码哈希。bcrypt是一种流行的、安全的密码哈希函数，它设计为计算密集型，以抵御彩虹表攻击和暴力破解。

首先，在您的NestJS项目中安装bcrypt：

npm install bcrypt
npm install -D @types/bcrypt

2. 配置用户实体

接下来，修改您的用户实体（例如User.entity.ts），在其中添加password属性，并实现一个带有@BeforeInsert()和@BeforeUpdate()装饰器的方法来处理密码哈希。

import { Entity, PrimaryGeneratedColumn, Column, BeforeInsert, BeforeUpdate } from 'typeorm';
import * as bcrypt from 'bcrypt';

@Entity()
export class User {
  @PrimaryGeneratedColumn()
  id: number;

  @Column({ unique: true })
  username: string;

  @Column()
  password: string;

  @Column({ default: true })
  isActive: boolean;

  /**
   * 在插入数据库之前哈希密码
   * 如果password属性存在且不为空，则对其进行哈希处理
   */
  @BeforeInsert()
  async hashPasswordOnInsert() {
    if (this.password) {
      this.password = await bcrypt.hash(this.password, 10); // 10是盐值轮次，建议在8-12之间
    }
  }

  /**
   * 在更新数据库之前哈希密码
   * 仅当password属性被修改时才进行哈希处理
   */
  @BeforeUpdate()
  async hashPasswordOnUpdate() {
    // 可以在此处添加逻辑，仅当密码实际发生变化时才进行哈希
    // 例如：通过比较当前密码哈希值与数据库中的旧值，但这需要额外查询
    // 更简单的做法是，如果前端发送了新的明文密码，就重新哈希
    if (this.password && this.password.length < 60) { // 假设哈希后的密码长度远大于60，用于区分明文密码
      this.password = await bcrypt.hash(this.password, 10);
    }
  }
}

在上述代码中：

• @BeforeInsert()装饰的hashPasswordOnInsert方法会在每次创建新用户并保存时触发。
• @BeforeUpdate()装饰的hashPasswordOnUpdate方法会在每次更新现有用户并保存时触发。我们添加了一个简单的长度检查 (this.password.length < 60) 作为判断是否为明文密码的启发式方法，以避免对已经哈希过的密码再次哈希。更严谨的做法是在更新时只接收明文密码，或通过业务逻辑判断是否需要重新哈希。
• bcrypt.hash(this.password, 10)：10是盐值轮次（salt rounds），它决定了哈希计算的复杂程度。值越大，哈希越安全，但计算时间也越长。通常建议在8到12之间。

3. 在服务层使用

在您的用户服务（例如UserService）中，您可以像往常一样创建和保存用户，无需在服务层手动调用哈希函数。哈希过程将由TypeORM的实体钩子自动处理。

import { Injectable } from '@nestjs/common';
import { InjectRepository } from '@nestjs/typeorm';
import { Repository } from 'typeorm';
import { User } from './user.entity';

@Injectable()
export class UserService {
  constructor(
    @InjectRepository(User)
    private usersRepository: Repository<User>,
  ) {}

  async createUser(username: string, passwordPlain: string): Promise<User> {
    const newUser = this.usersRepository.create({ username, password: passwordPlain });
    // 当调用save()方法时，User实体中的@BeforeInsert()钩子将自动触发，对password进行哈希
    return this.usersRepository.save(newUser);
  }

  async updateUserPassword(userId: number, newPasswordPlain: string): Promise<User | undefined> {
    const user = await this.usersRepository.findOne({ where: { id: userId } });
    if (!user) {
      return undefined;
    }
    user.password = newPasswordPlain;
    // 当调用save()方法时，User实体中的@BeforeUpdate()钩子将自动触发，对newPasswordPlain进行哈希
    return this.usersRepository.save(user);
  }

  // ... 其他用户相关方法
}

通过这种方式，UserService中的代码保持简洁，关注于业务逻辑，而密码哈希的底层实现则封装在实体内部。

注意事项与最佳实践

1. 安全性考量:

   • 选择合适的盐值轮次: bcrypt的盐值轮次应该根据您的服务器性能和安全需求进行调整。更高的轮次意味着更强的安全性，但也需要更多的计算资源。

   • 永远不要存储盐值: bcrypt生成的哈希值本身就包含了盐值，因此您无需单独存储它。

   • 密码比对: 当用户尝试登录时，您需要将用户输入的明文密码与数据库中存储的哈希密码进行比对。bcrypt提供了compare方法来完成此操作：

     import * as bcrypt from 'bcrypt';
     
     async function validatePassword(plainPassword: string, hashedPasswordFromDb: string): Promise<boolean> {
       return bcrypt.compare(plainPassword, hashedPasswordFromDb);
     }

2. 钩子的触发时机:

   • 再次强调，@BeforeInsert()和@BeforeUpdate()钩子仅在使用repository.save()或entityManager.save()方法时触发。如果您出于某种特殊原因需要使用repository.insert()或repository.update()方法，那么您将需要手动处理密码哈希。
   • save()方法会根据实体是否具有主键来判断是执行插入还是更新操作。如果实体没有主键，则执行插入；如果实体有主键，则执行更新。

3. 密码更新处理:

   • 在@BeforeUpdate()中，判断是否需要重新哈希密码的逻辑需要谨慎。上述示例中的长度检查是一种简易方式，但更健壮的方法可能是在更新操作时，明确只在接收到明文密码时才进行哈希。例如，如果您的更新DTO只包含需要更新的字段，并且password字段仅在用户请求修改密码时才包含明文，那么直接哈希即可。

4. 性能:

   • bcrypt是一个计算密集型操作，尤其是在高盐值轮次下。对于高并发的注册或密码更新场景，这可能会对服务器性能产生轻微影响。然而，对于大多数Web应用而言，这种开销是可接受的，并且是保障安全性的必要代价。bcrypt.hash是异步的，因此不会阻塞Node.js事件循环。

总结

通过在TypeORM实体中巧妙利用@BeforeInsert()和@BeforeUpdate()生命周期钩子，并结合bcrypt库，我们能够实现NestJS应用中用户密码的自动化哈希。这种方法不仅提高了代码的内聚性和可维护性，将密码安全逻辑封装在实体内部，还确保了每次密码持久化时都能自动进行安全的哈希处理，极大地简化了开发流程并增强了系统的安全性。遵循这些实践，您的NestJS应用将拥有一个健壮且安全的密码管理机制。

到这里，我们也就讲完了《TypeORM与NestJS密码哈希教程详解》的内容了。个人认为，基础知识的学习和巩固，是为了更好的将其运用到项目中，欢迎关注golang学习网公众号，带你了解更多关于的知识点！