如何在Mongoose/MongoDB中保护密码字段，以便在填充集合时不会在查询中返回？

7 浏览
0 Comments

如何在Mongoose/MongoDB中保护密码字段，以便在填充集合时不会在查询中返回？

假设我有两个集合/模式。一个是用户名和密码字段的用户模式，然后我有一个博客模式，其中在作者字段中引用了用户模式。如果我使用Mongoose执行像下面这样的操作：

Blogs.findOne({...}).populate("user").exec()

我将得到博客文档和已填充的用户，但是如何防止Mongoose/MongoDB返回密码字段呢？密码字段已经进行了哈希处理，但不应该返回。

我知道我可以在简单的查询中省略密码字段并返回其余字段，但如何在填充中做到这一点呢？还有没有更优雅的方法？

此外，在某些情况下，我确实需要获取密码字段，例如当用户想要登录或更改密码时。

0

3 答案

0 Comments

问题的原因是在使用Mongoose/MongoDB时，当使用populate方法查询关联集合时，密码字段也会返回。而解决方法是通过在查询时选择性地排除或包含密码字段。

解决方法分为两种方式：

1. 使用"always include but exclude sometimes"方式：

Users.find().select("-password")

或

Users.find().exclude("password")

在模式中定义密码字段，设置select为false：

password: { type: String, select: false }

在登录/密码更新函数中需要使用密码字段时选择性地包含。

2. 使用"always exclude but include sometimes"方式：

Users.find().select("+password")

但需要在模式中定义密码字段，设置select为false：

password: { type: String, select: false }

在需要包含密码字段时，通过选择性地使用populate方法，不再需要select。

为了保护密码字段，在查询时选择性地排除或包含密码字段是非常重要的，这样可以防止密码泄露。通过在模式中设置select为false，可以实现密码字段的排除。在需要使用密码字段时，可以选择性地包含密码字段。这样可以保护密码的安全性。

0
0 Comments

在使用Mongoose/MongoDB时，有一个问题是当我们使用populate方法查询集合时，密码字段会返回在查询结果中。这显然是不安全的，因为密码是敏感信息，不应该被公开显示。那么如何保护密码字段，使其在查询时不返回呢？

问题的解决方法是使用Mongoose的Schema选项来排除密码字段。具体地说，我们可以在定义Schema时，通过设置select为false来排除密码字段的返回。下面是解决方法的代码示例：

const userSchema = new Schema({
  username: String,
  password: { type: String, select: false },
  // 其他字段...
});

在上面的代码中，我们将password字段的select选项设置为false，这样当使用populate方法查询集合时，密码字段就不会返回了。

另外，从上述讨论中还可以看到一些其他的解决方法。例如，可以使用.populate('user', '-password')来排除密码字段。这里的'-password'表示排除password字段。另外，还可以使用.populate('user': 1, 'password': 0)来指定返回的字段，其中1表示包含，0表示排除。

保护密码字段的方法有多种，但使用Mongoose的Schema选项是比较常见和推荐的方法。通过设置select为false，可以在定义Schema时就排除密码字段的返回，从而保护用户的密码信息。

0
0 Comments

问题的原因是当使用Mongoose/MongoDB进行查询并填充集合时，密码字段会返回。解决方法是在模式定义级别上使用select属性来更改默认行为。然后，可以在find和populate调用中通过字段选择将其引入。例如，在find查询中，可以通过'+password'来选择密码字段。对于save()回调中的对象，无法应用这种方法。有一个解决办法是使用const { _id } = await resourceToCreate.save(); return this.findOne(_id);来保存和查找资源。

这种方法对于使用populate非常有效，但在使用$lookup进行聚合时不起作用。另外，该方法会导致在登录时无法读取密码字段，需要另外解决密码验证的问题。

0