如何在 Node.js 的本地自定义数据库中安全地存储密码？

在 Node.js 中，安全地存储密码非常重要。Node.js 的内置模块 crypto 可以帮助我们进行安全的密码存储。

哈希密码

在存储密码时，我们不应该直接将原始密码存储在数据库中，因为一旦数据库泄露，那么所有的密码将毫无保留地暴露出去。因此，我们应该对密码进行哈希处理，将哈希值存储在数据库中。

哈希函数是一种不可逆的算法，将任意长度的数据映射为固定长度的输出。当我们使用哈希函数将密码哈希化时，就可以保证即使数据库泄露，攻击者也无法直接获取用户的密码。

Node.js 的 crypto 模块提供了多个哈希函数，我们这里使用 SHA256 哈希函数为例：

const crypto = require('crypto');

function hashPassword(password) {
  const hash = crypto.createHash('sha256');
  hash.update(password);
  return hash.digest('hex');
}

const hashedPassword = hashPassword('mypassword');
console.log(hashedPassword); // 67c6acd447a6d9db131f9354191f1e6e87c6a335dd0b461d2cf1b943a92a9d47

在上面的示例中，我们将密码 mypassword 哈希化，并将哈希值 67c6acd4... 存储在数据库中。

使用随机盐

虽然哈希可以保证密码的安全性，但仍然存在被彩虹表破解的风险。彩虹表是一种预先计算出哈希值的表格，攻击者可以使用其中的哈希值来破解密码。

为了提高密码的安全性，我们还应该使用随机盐来进行哈希。盐是一串随机的数据，用于加强密码的哈希值。

在 Node.js 中，我们可以使用 crypto.randomBytes 函数生成随机盐：

function hashPasswordWithSalt(password) {
  const salt = crypto.randomBytes(8).toString('hex');
  const hash = crypto.createHash('sha256');
  hash.update(password + salt);
  return {
    salt,
    hashedPassword: hash.digest('hex')
  };
}

const { salt, hashedPassword } = hashPasswordWithSalt('mypassword');
console.log(salt, hashedPassword);
// 772d0a0e29a8687c 915bf8d1a512299023a6066b85ed37614a8f13cb9e75b0256aa939dcf8d8a2c1

在上面的示例中，我们将密码和随机盐一起哈希化，并将盐和哈希值一起存储在数据库中。

使用 bcrypt

虽然使用随机盐可以增强密码的安全性，但是我们在实际开发中通常使用的是已有的加密库，比如 bcrypt。

bcrypt 是一个基于 Blowfish 算法的密码哈希函数库，可以防范彩虹表攻击，同时也支持设置加密强度以增强安全性。

我们可以使用 bcrypt 对密码进行哈希和验证：

const bcrypt = require('bcrypt');

const saltRounds = 10;

function hashPasswordWithBcrypt(password) {
  return bcrypt.hash(password, saltRounds);
}

function verifyPasswordWithBcrypt(password, hashedPassword) {
  return bcrypt.compare(password, hashedPassword);
}

async function test() {
  const password = 'mypassword';
  const hashedPassword = await hashPasswordWithBcrypt(password);
  console.log(hashedPassword);

  const isPasswordCorrect = await verifyPasswordWithBcrypt(password, hashedPassword);
  console.log(isPasswordCorrect);
}

test();

在上面的示例中，我们分别使用 bcrypt.hash 和 bcrypt.compare 对密码进行哈希和验证。

需要注意的是，bcrypt.hash 和 bcrypt.compare 都是异步函数，需要使用 await 关键字或者 Promise 来等待结果。

总结

在 Node.js 中，我们可以使用哈希函数、随机盐、bcrypt 等方式来安全地存储密码。需要注意的是，在实际开发中，密码存储要尽可能地安全，不能轻易地将原始密码暴露在外，防范攻击者的各种手段。