@jhb0430/password

비밀번호를 bcrypt 해시로 저장하고, 로그인할 때 입력값과 해시가 같은지만 확인합니다. 해시에서 원래 비밀번호를 복호화할 수 없습니다.

다시 꺼내 보내야 하는 API 시크릿에는 쓰지 않습니다. 비교만 하면 되는 비밀번호에 씁니다.

설치

npm install @jhb0430/password

bcryptjs는 이 패키지가 함께 설치합니다.

저장

import { toStoredPassword } from '@jhb0430/password'

const stored = await toStoredPassword(plainPassword)
await db.insert(users).values({ password: stored })

이미 $2a$, $2b$, $2y$ 형태의 해시면 다시 해시하지 않습니다. 평문이면 cost 10으로 해시합니다.

로그인

import { passwordsMatch } from '@jhb0430/password'

const ok = await passwordsMatch(inputPassword, user?.password)

저장된 비밀번호가 없으면 false를 반환합니다. 이때도 해시 비교를 한 번 해서, 아이디가 없을 때와 비밀번호가 틀릴 때의 응답 시간을 비슷하게 맞춥니다.

아직 평문으로 남아 있는 예전 값은 문자열로 비교합니다. 저장 시점에 toStoredPassword를 쓰면 다음부터는 해시만 남습니다.

hashPassword, verifyPassword, isBcryptHash도 같은 패키지에서 꺼냅니다.