1. 从零跑通 Node.js 登录接口Mongoose 建模到 JWT 签发如果你正在用 Node.js Express 写后端登录接口大概率是第一个要落地的功能。它看起来简单——收个账号密码、查库、比对、发个 token——但真正写起来坑集中在三块Mongoose 的 Schema 怎么设计才不返工、密码到底怎么存才安全、JWT 签发后前端怎么验证它真的能用。这篇就围绕「使用 mongoose 实现登录接口」这个场景把用户模型、密码哈希、JWT 签发整条链路拆开讲并且给出一份可复制的config.toml配置骨架配合 TaoToken 统一 Key 接入让你在本地用 curl 就能验证登录接口返回 token。适合谁看已经会写 Express 路由、但对 Mongoose 模型设计和鉴权链路还不够熟的同学或者接口写完了但不知道怎么系统验证、每次靠 Postman 手点的开发者。读完之后你应该能独立完成一个可运行的登录接口并且知道每一步为什么这么写。先说清楚整体链路避免写着写着迷路。一次登录请求会经过Express 路由接收 POST 请求 → 校验请求体字段 → 用 Mongoose 按用户名查用户 → 用 bcrypt 比对密码哈希 → 通过后签发 JWT → 返回 token 给客户端。这里面 Mongoose 负责数据层bcrypt 负责密码安全jsonwebtoken 负责凭证签发。三者职责分明任何一环写错都会导致「密码对但登不上」或者「token 拿到了但验不过」。我试过把这套流程封装成可复用模块后来发现对新手来说先按顺序写清楚比过度抽象更重要。所以下面按「模型 → 路由 → 配置 → 验证」的顺序来每一步都给完整代码。2. TaoToken 前置准备统一 Key 与 config.toml 骨架在写业务代码之前先把配置层搭好。很多登录接口的密钥、数据库地址、token 过期时间都硬编码在代码里改一次要翻好几个文件。用一份config.toml集中管理后面接 TaoToken 统一 Key 也方便。TaoToken 在这里的角色是统一管理你的模型调用凭证。登录接口本身不直接调模型但如果你后续要在登录后做 AI 功能比如用户问答、内容生成把 Key 统一放在配置里就不用每个模块各写一套。它的 API 入口是https://taotoken.net/api官网在https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content注册后在控制台可以拿到 Key。先建一个config.toml结构如下# config.toml [server] port 3000 jwt_secret 换成你自己的随机字符串 jwt_expires_in 2h [database] uri mongodb://127.0.0.1:27017/login_demo [taotoken] api_base https://taotoken.net/api api_key sk-你的TaoTokenKey default_model gpt-4o-mini读取配置用iarna/toml或toml包都行这里用前者npm install express mongoose bcryptjs jsonwebtoken iarna/toml// config.js const fs require(fs); const toml require(iarna/toml); const raw fs.readFileSync(./config.toml, utf-8); const config toml.parse(raw); module.exports config;注意jwt_secret不要用示例里的字符串用openssl rand -hex 32生成一个。这个值泄露等于任何人都能伪造 token。TaoToken 的 Key 放在[taotoken]段里后续要调模型时直接读config.taotoken.api_key。如果你还没拿到 Key可以去控制台创建入口在https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content创建后到 API Keys 页面复制地址是https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content。3. 可复制配置Mongoose 用户模型与密码哈希3.1 定义 User SchemaMongoose 的 Schema 相当于数据库的模板决定了字段类型、校验规则和默认值。登录场景下用户模型至少要有username、password、createdAt三个字段。密码字段要设select: false这样默认查询不会带出密码哈希减少泄露面。// models/User.js const mongoose require(mongoose); const bcrypt require(bcryptjs); const userSchema new mongoose.Schema({ username: { type: String, required: [true, 用户名不能为空], unique: true, trim: true, minlength: [3, 用户名至少3个字符] }, password: { type: String, required: [true, 密码不能为空], select: false }, createdAt: { type: Date, default: Date.now } }); // 保存前自动哈希密码 userSchema.pre(save, async function (next) { if (!this.isModified(password)) return next(); const salt await bcrypt.genSalt(10); this.password await bcrypt.hash(this.password, salt); next(); }); // 实例方法比对密码 userSchema.methods.comparePassword function (candidate) { return bcrypt.compare(candidate, this.password); }; module.exports mongoose.model(User, userSchema);这里有两个关键点。第一pre(save)钩子保证密码在入库前一定被哈希不会出现明文存储。第二comparePassword用bcrypt.compare而不是自己写字符串比较因为 bcrypt 哈希带盐值必须用它的比对方法。3.2 连接数据库// db.js const mongoose require(mongoose); const config require(./config); async function connectDB() { await mongoose.connect(config.database.uri); console.log(MongoDB connected); } module.exports connectDB;3.3 登录路由路由层负责接收请求、查用户、比对密码、签发 token。注意查询时要.select(password)因为 Schema 里设了select: false不显式加回来是查不到密码字段的。// routes/auth.js const express require(express); const jwt require(jsonwebtoken); const User require(../models/User); const config require(../config); const router express.Router(); router.post(/login, async (req, res) { try { const { username, password } req.body; if (!username || !password) { return res.status(400).json({ message: 用户名和密码不能为空 }); } const user await User.findOne({ username }).select(password); if (!user) { return res.status(401).json({ message: 用户名或密码错误 }); } const isMatch await user.comparePassword(password); if (!isMatch) { return res.status(401).json({ message: 用户名或密码错误 }); } const token jwt.sign( { userId: user._id, username: user.username }, config.server.jwt_secret, { expiresIn: config.server.jwt_expires_in } ); res.json({ message: 登录成功, token, expiresIn: config.server.jwt_expires_in }); } catch (err) { console.error(err); res.status(500).json({ message: 服务器内部错误 }); } }); module.exports router;3.4 挂载路由与启动// app.js const express require(express); const connectDB require(./db); const authRouter require(./routes/auth); const config require(./config); const app express(); app.use(express.json()); app.use(/api/auth, authRouter); connectDB().then(() { app.listen(config.server.port, () { console.log(Server running on port ${config.server.port}); }); });注意router和users的引入路径要对app.use(/api/auth, authRouter)之后登录接口的完整路径是/api/auth/login。这一步挂载错了curl 会一直 404。4. 验证请求curl 跑通登录并拿到 token代码写完先造一个测试用户。可以写个一次性脚本或者直接在 Mongo shell 里插。用脚本更稳因为会走pre(save)哈希// seed.js const connectDB require(./db); const User require(./models/User); (async () { await connectDB(); await User.deleteMany({ username: testuser }); await User.create({ username: testuser, password: pass1234 }); console.log(seed done); process.exit(0); })();node seed.js然后启动服务node app.js用 curl 验证curl -X POST http://localhost:3000/api/auth/login \ -H Content-Type: application/json \ -d {username:testuser,password:pass1234}成功时返回{ message: 登录成功, token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..., expiresIn: 2h }拿到 token 后可以再验一次它是否有效。写个受保护路由// routes/protected.js const express require(express); const jwt require(jsonwebtoken); const config require(../config); const router express.Router(); router.get(/me, (req, res) { const auth req.headers.authorization || ; const token auth.replace(Bearer , ); try { const payload jwt.verify(token, config.server.jwt_secret); res.json({ message: token 有效, payload }); } catch (err) { res.status(401).json({ message: token 无效或已过期 }); } }); module.exports router;挂载后请求curl http://localhost:3000/api/protected/me \ -H Authorization: Bearer 你的token返回{message:token 有效,payload:{userId:...,username:testuser,...}}就说明整条链路通了。如果你后续要在这个基础上接模型能力比如登录后调用对话接口可以用 TaoToken 的模型对话入口https://taotoken.net/model-chat?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content先手动验证 Key 是否可用再写进代码。5. 本篇常见错排查登录接口跑不通九成问题集中在这几个地方。密码比对一直失败。最常见的原因是查询时没加.select(password)导致user.password是 undefinedbcrypt.compare自然返回 false。检查你的findOne后面有没有这个链式调用。注册时密码没被哈希。如果你用User.create()或new User().save()pre(save)会触发但如果你用updateOne直接改密码钩子不会跑。改密码要么走save()要么手动哈希。curl 返回 404。检查路由挂载路径。app.use(/api/auth, authRouter)加router.post(/login)对应的是/api/auth/login少一层或多一层都对不上。token 验不过。jwt.sign和jwt.verify用的 secret 必须完全一致。如果你在config.toml里改了 secret 但没重启服务或者两个地方读的配置不同就会验失败。另外注意expiresIn格式2h是合法的写成2会被当成 2 秒。MongoDB 连接超时。确认config.toml里的uri指向的实例在运行本地默认是mongodb://127.0.0.1:27017/库名。用mongosh能连上再跑 Node 服务。bcrypt 装不上。bcrypt是原生模块某些环境编译会失败换成bcryptjs纯 JS 实现即可API 基本一致本篇用的就是它。6. 把 Key 和配置收拢继续往下走到这里一个基于 Mongoose 的登录接口已经能跑通用户模型定义清楚、密码哈希自动完成、JWT 签发和验证都验证过。配置层用config.toml收拢了数据库地址、JWT 密钥和 TaoToken 的 Key后面加功能不用到处翻代码。如果你接下来要做的是长期编码或者 Agent 类项目把模型调用也纳入统一管理会更省心可以看看 Coding Plan 的接入方式入口在https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content。接入文档在https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content里面有各语言的调用示例。如果你更习惯用 Claude Code 这类工具对应的配置说明在https://taotoken.net/ClaudeCodeAnthropic?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content。最后留一个实用习惯每次改完config.toml先重启服务再 curl别在旧进程上反复试。登录接口的调试成本一大半都花在「改了没生效」上。