NestJS：使用 JWT 将验证选项添加到 AuthGuard

我正在尝试利用AuthGuard装饰器和护照 JWT 策略，遵循文档 https://docs.nestjs.com/techniques/authentication.

文档中的所有内容都运行良好。但我现在想保护 JWT 中包含的范围的路由。这是我的应用程序生成的基本 jwt 有效负载：

{
  "user": {
    "id": "20189c4f-1183-4216-8b48-333ddb825de8",
    "username": "[email protected] /cdn-cgi/l/email-protection"
  },
  "scope": [
    "manage_server"
  ],
  "iat": 1534766258,
  "exp": 1534771258,
  "iss": "15f2463d-8810-44f9-a908-801872ded159",
  "sub": "20189c4f-1183-4216-8b48-333ddb825de8",
  "jti": "078047bc-fc1f-4c35-8abe-72834f7bcc44"
}

这是基本的保护路线，由AuthGuard装饰器：

@Get('protected')
@UseGuards(AuthGuard('jwt'))
async protected(): Promise<string> {
    return 'Hello Protected World';
}

我想添加选项并将该路线的访问限制为具有以下权限的人manager_server范围进入他们的 JWT。所以在阅读了一些内容之后AuthGuard代码，我认为我能够编写如下内容：

@Get('protected')
@UseGuards(AuthGuard('jwt', {
    scope: 'manage_server'
}))
async protected(): Promise<string> {
    return 'Hello Protected World';
}

但是，我在文档中看不到可以使用此选项的位置。

我认为添加一个选项参数validate的功能JWTStrategy可以成功，但事实并非如此。这是我的validate函数（包含在jwt.strategy.ts file):

async validate(payload: JwtPayload, done: ((err: any, value: any) => void)) {
    const user = await this.authService.validateUser(payload);
    if (!user) {
        return done(new UnauthorizedException(), false);
    }
    done(null, user);
}

非常感谢您的帮助，如果您需要，请随时在评论中向我询问更多信息。

当你看着code https://github.com/nestjs/passport/blob/a69279e2a001cd872b9e652b7075e068518bac8d/lib/auth.guard.tsAuthGuard 的，看起来像options.callback功能是唯一可能的定制。

我认为而不是自己写AuthGuard支持范围检查，有一个更干净ScopesGuard (or RolesGuard）有自己的装饰器，比如@Scopes('manage_server')反而。为此，您只需按照RolesGuard中的示例docs https://docs.nestjs.com/guards，它也只是检查 JWT 负载下的属性user请求中的属性。

基本步骤

创建一个@Scopes()装饰器：

export const Scopes = (...scopes: string[]) => SetMetadata('scopes', scopes);

创建一个ScopesGuard:

@Injectable()
export class ScopesGuard implements CanActivate {
  constructor(private readonly reflector: Reflector) {}

  canActivate(context: ExecutionContext): boolean {
    const scopes = this.reflector.get<string[]>('scopes', context.getHandler());
    if (!scopes) {
      return true;
    }
    const request = context.switchToHttp().getRequest();
    const user = request.user;
    const hasScope = () => user.scopes.some((scope) => scopes.includes(scope));
    return user && user.scopes && hasScope();
  }
}

使用 ScopesGuard 作为所有路由的全局防护（当没有给出范围时返回 true）：

@Module({
  providers: [
    {
      provide: APP_GUARD,
      useClass: ScopesGuard,
    },
  ],
})
export class ApplicationModule {}

然后在端点上使用它：

@Get('protected')
@UseGuards(AuthGuard('jwt'))
@Scopes('manage_server')
async protected(): Promise<string> {
    return 'Hello Protected World';
}