Nest.js 中如何使用角色守卫？

推荐答案

在 Nest.js 中，角色守卫（Role Guard）用于根据用户的角色来控制对特定路由的访问。以下是如何实现和使用角色守卫的步骤：

1. 创建角色守卫： 首先，创建一个角色守卫类，并实现 CanActivate 接口。在 canActivate 方法中，检查用户的角色是否符合要求。

   // www.javascriptcn.com code example
   import { Injectable, CanActivate, ExecutionContext } from '@nestjs/common';
   import { Reflector } from '@nestjs/core';
   import { ROLES_KEY } from './roles.decorator';
   import { UserRole } from './user-role.enum';
   
   @Injectable()
   export class RolesGuard implements CanActivate {
     constructor(private reflector: Reflector) {}
   
     canActivate(context: ExecutionContext): boolean {
       const requiredRoles = this.reflector.get<UserRole[]>(
         ROLES_KEY,
         context.getHandler(),
       );
       if (!requiredRoles) {
         return true;
       }
       const { user } = context.switchToHttp().getRequest();
       return requiredRoles.some((role) => user.roles?.includes(role));
     }
   }

2. 创建自定义装饰器： 创建一个自定义装饰器，用于在控制器方法上指定所需的角色。

   import { SetMetadata } from '@nestjs/common';
   import { UserRole } from './user-role.enum';
   
   export const ROLES_KEY = 'roles';
   export const Roles = (...roles: UserRole[]) => SetMetadata(ROLES_KEY, roles);

3. 在控制器中使用角色守卫： 在控制器的方法上使用 @Roles 装饰器来指定所需的角色，并将角色守卫应用到路由上。

   // www.javascriptcn.com code example
   import { Controller, Get, UseGuards } from '@nestjs/common';
   import { RolesGuard } from './roles.guard';
   import { Roles } from './roles.decorator';
   import { UserRole } from './user-role.enum';
   
   @Controller('example')
   @UseGuards(RolesGuard)
   export class ExampleController {
     @Get('admin')
     @Roles(UserRole.ADMIN)
     adminOnly() {
       return 'This route is accessible only by admins';
     }
   
     @Get('user')
     @Roles(UserRole.USER)
     userOnly() {
       return 'This route is accessible only by users';
     }
   }

4. 全局应用角色守卫： 如果你希望在整个应用中使用角色守卫，可以在 main.ts 中全局应用它。

   // www.javascriptcn.com code example
   import { NestFactory } from '@nestjs/core';
   import { AppModule } from './app.module';
   import { RolesGuard } from './roles.guard';
   
   async function bootstrap() {
     const app = await NestFactory.create(AppModule);
     app.useGlobalGuards(new RolesGuard());
     await app.listen(3000);
   }
   bootstrap();

本题详细解读

1. 角色守卫的作用

角色守卫的主要作用是根据用户的角色来控制对特定路由的访问。它通常与身份验证机制（如 JWT）结合使用，以确保只有具有特定角色的用户才能访问某些资源。

2. 实现步骤

• 创建角色守卫：通过实现 CanActivate 接口，角色守卫可以在请求到达控制器之前检查用户的角色。
• 自定义装饰器：使用 SetMetadata 创建一个自定义装饰器，用于在控制器方法上指定所需的角色。
• 在控制器中使用：通过 @Roles 装饰器和 @UseGuards 装饰器，将角色守卫应用到特定的路由上。
• 全局应用：如果需要在整个应用中使用角色守卫，可以在 main.ts 中全局应用它。

3. 关键点

• Reflector：Reflector 是 Nest.js 提供的一个工具，用于从控制器方法中提取元数据。在角色守卫中，它用于获取 @Roles 装饰器指定的角色。
• ExecutionContext：ExecutionContext 提供了当前请求的上下文信息，包括请求对象、响应对象等。通过 context.switchToHttp().getRequest() 可以获取到请求对象，进而访问用户信息。

4. 适用场景

角色守卫适用于需要对不同用户角色进行细粒度权限控制的场景。例如，管理员和普通用户可能访问不同的资源，角色守卫可以确保只有具有相应角色的用户才能访问特定的路由。

通过以上步骤，你可以在 Nest.js 中实现和使用角色守卫，从而有效地控制用户对资源的访问权限。