DBに暗号化して保存したパスワードと、ログインPOST時に送信するパスワードの比較について node.js

Question

前提・実現したいこと

Node.js で、emailアドレスとパスワードを用いてユーザー登録とログイン機能を実装しようとしています。
登録時に入力したパスワードを暗号化するわけですが、
ログイン時に入力したパスワードと、DB内の暗号化されたパスワードをどう比較すればよいのかわかりません。

方法としては、
1 入力したパスワードを登録時と同様に暗号化する
2 DB内のパスワードを複合化する
があるかと思うのですが、いずれもコードの書き方がいまいち、よくわからないです。

DB: sqlite
パスワード: 英数8~32文字
パスワードの暗号方法: hash 　:server/src/models/User.js 参照

ログイン時に、 User.js のhooks内と同様の処理を行ってパスワードを暗号化すればよいかと思うのですが、その書き方がわからないです。

User.js

const Promise = require('bluebird')
// bcrypt-nodejs内のすべてのメソッドにPromise版を追加する
const bcrypt = Promise.promisifyAll(require('bcrypt-nodejs'))

function hashPassword(user, options) {
  const SALT_FACTOR = 8

  if (!user.changed('password')) {
    return;
  }

  return bcrypt.genSaltAsync(SALT_FACTOR)
    .then(salt => bcrypt.hashAsync(user.password, salt, null))
    .then(hash => {
      user.setDataValue('password', hash)
    })
}

module.exports = (sequelize, DataTypes) => {
  const User = sequelize.define('User', {
    email: {
      type: DataTypes.STRING,
      unique: true
    },
    password: DataTypes.STRING
  }, {
    // ユーザーをDBに登録する前に、bcryptを用いてpasswordをハッシュする。　
    hooks: {
      beforeCreate: hashPassword,
      beforeUpdate: hashPassword,
      beforeSave: hashPassword,
    }
  })
  
  User.prototype.comparePassword = function (password) {
    return bcrypt.compareAsync(password, this.password)
  }  

  return User
}

試したこと

登録時にパスワードのhashを行わなかった(hooksの記述を削除した)場合、ログインもうまくいきました。

補足情報（FW/ツールのバージョンなど）

全体のソースはgithubに置いています。
https://github.com/AyumuShigeta/VueExpress-Window

master_express.js_server_dir_sqlite_vuetifyブランチで、

$ cd server
$ node src/app.js
でローカルサーバーが起動します。
また、フロント側は
$ cd appSrc
$ npm run dev
で見られるようになります　(cssなどのスタイルは整っていません)

Answer 1

1行ずつ、崩して確認をしたのですが
ここで暗号化と比較を同時に行っているようです。
仕組みはまた改めて勉強します。

const bcrypt = Promise.promisifyAll(require('bcrypt-nodejs'))

User.prototype.comparePassword = function (password) {

return bcrypt.compareAsync(password, this.password)

}

Answer 2

1 入力したパスワードを登録時と同様に暗号化する

2 DB内のパスワードを複合化する

1です。パスワードは復号可能な暗号化でDBに格納してはいけません。

いずれもコードの書き方がいまいち、よくわからないです。

「登録時と同様に暗号化する」が何故分からないのか分かりません。

Comments

[yzmw131321]

何故わからないかというと、ログイン時に記述する、hooks　のbeforeCreate,beforeUpdate... に相当する表現を知らないからです(そもそも、hooksにそれを書くのかどうかも含めて)