Implementación de Hashing en Proyecto Mongo con Node.js

Otra forma para eliminar el password de la respuesta pueden instalar el paquete: npm i nestjs-mongoose-exclude luego en su Entity utilizar el decorador @ExcludeProperty() y por último utilizar un Interceptor a nivel de ruta o del controlador completo quedaría así:

@Prop({ required: true })
  @ExcludeProperty()
  password: string;

@UseInterceptors(
  new SanitizeMongooseModelInterceptor({
    excludeMongooseId: false,
    excludeMongooseV: true,
  }),
)
@Controller('users')

Daniel Muñoz Martín

Gran aporte! En lo personal me gusta más tu solución.

James Diaz Lopez

Confirmo, funciona muy bien.

Rony Porraz Vargas

Si quieres loguear a sus usuarios y no quieres devolver el password a la respuesta podrian hacer la busqueda asi

 const userToFind = await this.userModel.findOne({ email : user.email }).select("-password")

Eso les devolvera todo el objeto del usuario menos el password

Juan David Merchán Torres

Hola 👋 Yo implementaria algo mas reutilizable y que no toca al users.services. Estando en el user.entity agregaria una funcion al metodo con el metodo pre de UserSchema y sobreescribiria el metodo toJSON del UserScham.

// user.entity.ts

...
UserSchema.pre('save', async function (next: HookNextFunction) {
  const user = this as User;

  // only hash the password if it has been modified (or is new)
  if (!user.isModified('password')) return next();

  // Random additional data
  const salt = await bcrypt.genSalt(10);

  const hash = await bcrypt.hash(user.password, salt);

  // Replace the password with the hash
  user.password = hash;

  return next();
});

Hasheara el password en la creacion y en la modificacion de la misma.

// usersentity.ts
....

UserSchema.methods.toJSON = function () {
  // eslint-disable-next-line @typescript-eslint/no-unused-vars
  const { __v, password, ...user } = this.toObject();

  return user;
};

Sobreescribira un poco el metodo toJSON para que ignore el password y en este caso el __v al imprimir el usuario en cualquier tipo de retorno del mismo, esto lo hace super reutilizable y no tendremos que tocar nunca mas la config.

Y nuestro users.service esta intacto

 async create(payload: CreateUserDto) {
    const newUser = new this.userModel(payload);

    return await newUser.save();
  }

Espero haberles aportado algo 🚀

Samuel R.

No podría llamarle reutilizable a los pre middlewares de mongoose, dado que se esta acoplando lógica a la entidad (por lo tanto a la base de datos) y hay casos puntuales en los que los pre middlewares no son accionados o llamados, ejemplo: un update many o un updateOne con set directo, esto es algo para tener en cuenta y evaluar con el equipo de desarrollo. (Como una nota: se puede hacer genérica la función para todos los pre middlewares disponibles, pero no creo que lo valga, igual es cosa que se evalué con el equipo de desarrollo).

El caso del toJSON, lo encuentro útil (salvo que en queries de tipo lean, este no funciona).

El caso genérico que se me ocurre es:

Marcar la propiedad del schema como {select: false} de acuerdo a la documentación de mongoose.
Posterior es forzar la selección del password, que para la autenticación es un caso especial (por lo general siempre no es seleccionado en las consultas tipo find({})).
Y finalmente eliminar en el servicio o un repositorio como se ve en la clase para mantener desacoplado lo relacionado a la BD.

Igual espero aportarles algo 👨🏾‍💻

Diego Miguel Gonzalez Calero

Otra forma para esconder el password es agregando la siguiente configuración en el user.entity:

@Prop({ type: String, required: true, select: false })
  password: string;

Con select: false indicamos que todas las peticiones de los usuarios vendrán sin el password :)

Juan Camilo Noreña López

Muy buena solución, ya que como si lo haciamos como el profe solo nos funciona al crear y no en todas las consultas. alguna forma de no retornar el '_v':0 ?

Maximiliano Delgado

npm i bcrypt

npm i -D @types/bcrypt

Ernán Alexander Velásquez Ramírez

La mejor forma de excluir los password lo encontré en la documentación de NestJs:

Lorenzo Gómez

Una alternativa para devolver el objeto sin la contraseña podría ser usar la Keyword Delete de JS

delete model.password

Efrén Ruíz Rubio

Con el decorador @Schema se puede modificar el método toJSON que mongoose usa en la entidad / Modelo de mongoose:

//user.entity.ts

import { Prop, Schema, SchemaFactory } from "@nestjs/mongoose";
import { Document, Types } from "mongoose";

@Schema({
  toJSON: {
    transform: (_document, returnedObject) => {
      returnedObject.id = returnedObject._id;
      delete returnedObject._id;
      delete returnedObject.__v;
      delete returnedObject.password;
    },
  },
})

De esta manera también se pueden borrar los elementos de la consulta que regresa mongoose.

José Porfirio Carrillo Echenique

Yo lo hice así en ambos, TypeORM y Mongoose:

  @Exclude()
  @Prop({ required: true, minlength: 6 })
  password: string;

Y solucionando el asunto. Recuerden que class-transformer funciona dentro del controlador. Que es lo que realmente interactuá con cliente.

Tulio Junior Rangel Nuñez

Sigo las instrucciones y me sale este error:

src/users/services/users.service.ts:42:13 - error TS2339: Property 'password' does not exist on type '{ (options: ToObjectOptions & { flattenMaps: false; }): LeanDocument<User & { _id: any; }>; (options?: ToObjectOptions): FlattenMaps<...>; <T = FlattenMaps<...>>(options?: ToObjectOptions): T; }'.

42     const { password, ...rta } = staging.toJSON;
               ~~~~~~~~

[12:35:01 p. m.] Found 1 error. Watching for file changes.

Y si en realidad password no existiera no debería hacer el hash, cosa que sí hace.

Carlos Enrique Ramírez Flores

Una opción rapida para excluir propiedades es:

findAll() { ``return this.userModel.find({}, { __v: 0, password: 0 }); }

Carlos Enrique Ramírez Flores

findAll() {

return this.userModel.find({}, { __v: 0, password: 0 });

}

Diego Ivan Nacimiento