0

Estoy intentando usar un middleware de mongoose para aplicar hash a un elemento del schema:

'use strict'

const mongoose = require('mongoose')
mongoose.Promise = global.Promise
const Schema = mongoose.Schema
const bcrypt = require('bcrypt-nodejs')

const userSchema = Schema({
  email: { type: String, unique: true, lowercase: true },
  displayName: String,
  avatar: String, //url donde se almacena
  password: { type: String, select:false } // para que al hacer consultas no lo envíe al cliente
  signupDate: { type: Date, default: Date.now() }
  lastLogin: Date  
})

// Aquí aplica hash en el evento findOne
userSchema.pre('findOne', (next) => {
  let user = this 

  bcrypt.genSalt(10, (err, salt) => {
    if (err) return next(err)

    bcrypt.hash(user.password, salt, null, (err, hash) => {
      if(err) return next(err)

      user.password = hash
      console.log(user.password)
      next()
    })
  })

})

Cuando se ejecuta el evento, imprime el console.log con la contraseña con hash.

Pero en este console.log, cuando se ejecuta el evento findOne() me imprime el atributo sin hash.

let usu = new Usuario({
    usuario : req.body.usuario,
    password : req.body.password
  })

Usuario.findOne( {usu_nombre: usu.usuario}, (err, user) => {
    console.log(usu.password)
})

Es decir, el primer console del schema imprime password con hash, pero el segundo console.log imprime el password sin hash.

Lo que quiero es que aplicar hash en el momento en que se requiere utilizar.

Aquí una captura de pantalla:

introducir la descripción de la imagen aquí

¿Alguna idea del por qué no se mantiene el password con hash?

5
  • ¿No debería ser user.password en lugar de usu.password? El objeto usu es un nuevo documento.
    – gugadev
    Commented el 27 dic. 2016 a las 18:04
  • @guzgarcia no porque "user" es el documento obtenido de la consulta findOne, es decir, el documento en la DB.
    – J.Correa
    Commented el 27 dic. 2016 a las 18:11
  • @guzgarcia y al que quiero aplicar el hash es al modelo, o sea lo que el usuario envía y se asignado al modelo (por medio del schema)
    – J.Correa
    Commented el 27 dic. 2016 a las 18:13
  • Una pregunta, ¿cuál es tu propósito? En primer lugar, ¿tienes hasheadas las contraseñas en la base de datos?
    – gugadev
    Commented el 27 dic. 2016 a las 18:31
  • @guzgarcia mi propósito es encriptar el password que reciba por post del usuario para posteriormente compararlo en la DB. Sí, en la DB está encriptado ya.
    – J.Correa
    Commented el 27 dic. 2016 a las 18:38

1 respuesta 1

0

¿Alguna idea del por qué no se mantiene el password con hash?

El objeto usu es simplemente un nuevo documento. Es obvio que usu.password te dé el password plano porque así se lo has asignado (por medio del cuerpo de la petición). Por otro lado, el middleware/hook es para el evento findOne. Cuando tu solicitas encontrar un documento, se ejecuta el middleware y cambia el password plano por su hash correspondiente.

mi propósito es encriptar el password que reciba por post del usuario para posteriormente compararlo en la DB

Si quieres hashear las contraseñas que recibas por petición, ¿por qué usas un middleware? El concepto de middleware es interceptar un evento e "inyectar" lógica de negocio. Aquí no hay nada que interceptar, lo único que hay que hacer es hashear la contraseña recibida.

Por otro lado, un hash no se compara con otro hash, en su lugar, se debe comparar el hash con un texto plano. Internamente, mediante un algoritmo se comprueba si el hash pertenece al texto en consulta.

Toma como ejemplo el siguiente código:

const salt = bcrypt.genSaltSync(10);
const hash1 = bcrypt.hashSync('mipassword', salt);
const hash2 = bcrypt.hashSync('mipassword', salt);

if (hash1 === hash2) {
  // todos somos felices. El password es correcto... ¿O no?
}

Aparentemente todo está correcto, lo más lógico es que siempre se genere un mismo hash para un texto. Pero esto es incorrecto y para entenderlo debes primero entender cómo funciona el algoritmo que estás usando.

Bcrypt tiene su propio algoritmo de verificación de contraseñas. Tú no debes manejar esto, el modo correcto de verificar si una contraseña coincide con un hash, se usa compare:

if (bcrypt.compareSync(hash1, 'mipassword')) {
  // contraseñas coinciden
}

Puedes aprovechar la posibilidad de usar métodos de modelo para llevar a cabo cierta lógica de negocio asociada al modelo. Por ejemplo:

UsuarioSchema.statics.login = function ({username, password}, cb) {
  this.findOne({ username }).then(doc => {
    if (!doc) {
      return cb({ success: false, code: 14532 });
    }
    if (!bcrypt.compareSync(doc.password, password)) {
      return cb({ success: false, code: 13622 });
    }
    cb({ success: true, user: doc });
  });
};

Y lo usarías así:

Usuario.login(req.body, (response) => {
  if (!response.success) {
    // enviar el mensaje de error de acuerdo al código
  } else {
    // login correcto, generar jwt o sesión
  }
});
1
  • Muchas gracias por tu respuesta. Me has ayudado mucho, principalmente en cuestión de la lógica
    – J.Correa
    Commented el 27 dic. 2016 a las 19:49

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.