Next.js、MongoDB与Bcrypt实现安全密码认证的实战教程

npm install mongodb bcryptjs
# 或者
yarn add mongodb bcryptjs

// lib/mongodb.js (示例)
import { MongoClient } from 'mongodb';

const uri = process.env.MONGODB_URI;
const options = {};

let client;
let clientPromise;

if (!process.env.MONGODB_URI) {
  throw new Error('请在.env文件中定义MONGODB_URI环境变量');
}

if (process.env.NODE_ENV === 'development') {
  // 在开发模式下，使用全局变量缓存MongoDB连接
  if (!global._mongoClientPromise) {
    client = new MongoClient(uri, options);
    global._mongoClientPromise = client.connect();
  }
  clientPromise = global._mongoClientPromise;
} else {
  // 在生产模式下，不使用全局变量
  client = new MongoClient(uri, options);
  clientPromise = client.connect();
}

export async function connectToDatabase() {
  const client = await clientPromise;
  const db = client.db(process.env.MONGODB_DB_NAME || 'your_database_name'); // 替换为您的数据库名
  return { client, db };
}

// pages/api/auth/signup.js
import { connectToDatabase } from '../../../lib/mongodb'; // 假设您的连接函数在此路径
import bcrypt from 'bcryptjs';

export default async function handler(req, res) {
  // 1. 确保请求方法为POST
  if (req.method !== 'POST') {
    return res.status(405).json({ message: 'Method Not Allowed' });
  }

  const { name, email, password } = req.body;

  // 2. 服务器端输入验证
  if (!name || !email || !password) {
    return res.status(400).json({ message: '所有字段均为必填项' });
  }

  try {
    const { db } = await connectToDatabase();
    const usersCollection = db.collection('users'); // 您的用户集合名

    // 3. 检查用户是否已存在
    const existingUser = await usersCollection.findOne({ email });
    if (existingUser) {
      return res.status(409).json({ message: '该邮箱已被注册' });
    }

    // 4. 哈希密码
    // bcrypt.hash(password, saltRounds)
    // saltRounds 推荐值为 10-12，值越大，哈希计算越慢，安全性越高。
    const hashedPassword = await bcrypt.hash(password, 10);

    // 5. 将用户数据（包括哈希密码）保存到数据库
    const result = await usersCollection.insertOne({
      name,
      email,
      password: hashedPassword,
      createdAt: new Date(),
    });

    if (result.acknowledged) {
      return res.status(201).json({ message: '注册成功' });
    } else {
      throw new Error('用户注册失败');
    }

  } catch (error) {
    console.error('注册过程中发生错误:', error);
    return res.status(500).json({ message: '服务器内部错误' });
  }
}

// pages/api/auth/login.js
import { connectToDatabase } from '../../../lib/mongodb'; // 假设您的连接函数在此路径
import bcrypt from 'bcryptjs';

export default async function handler(req, res) {
  // 1. 确保请求方法为POST
  if (req.method !== 'POST') {
    return res.status(405).json({ message: 'Method Not Allowed' });
  }

  const { email, password } = req.body;

  // 2. 服务器端输入验证
  if (!email || !password) {
    return res.status(400).json({ message: '邮箱和密码为必填项' });
  }

  try {
    const { db } = await connectToDatabase();
    const usersCollection = db.collection('users'); // 您的用户集合名

    // 3. 从数据库获取用户信息
    const user = await usersCollection.findOne({ email });

    // 4. 检查用户是否存在。为了安全，避免泄露用户是否存在的信息，
    // 即使用户不存在，也返回与密码错误相同的通用错误信息。
    if (!user) {
      return res.status(400).json({ message: '邮箱或密码不正确' });
    }

    // 5. 比较用户输入的密码与数据库中存储的哈希密码
    // bcrypt.compare(plainTextPassword, hashedPassword)
    const isValidPassword = await bcrypt.compare(password, user.password);

    if (!isValidPassword) {
      return res.status(400).json({ message: '邮箱或密码不正确' });
    }

    // 6. 认证成功，可以进行后续操作，如生成JWT或设置Session
    // 示例：返回成功信息和部分用户数据（不含密码）
    return res.status(200).json({
      message: '登录成功',
      user: {
        id: user._id,
        name: user.name,
        email: user.email,
      }
    });

  } catch (error) {
    console.error('登录过程中发生错误:', error);
    return res.status(500).json({ message: '服务器内部错误' });
  }
}