加载实体前检查CASL权限：如何验证特定用户更新权限？

问题背景 #

我在CaslAbilityFactory中定义了如下权限规则：

if (auth.isAdmin) {
  can(Action.Create, User);
  can(Action.Read, "all");
  can(Action.Manage, User);
  can(Action.Update, User, ["email", "firstName", "lastName", "role"]);

  can(Action.Delete, User);
  cannot(Action.Delete, User, isOwner);
}

if (auth.isUser) {
  can([Action.Read, Action.Update], User, isOwner);
}

对应的GraphQL更新解析器如下：

@Mutation(() => User)
@UseGuards(PoliciesGuard)
@CheckPolicies(ability => ability.can(Action.Update, User))
async updateUser(
  @Args("input") input: UpdateUserInput,
  @CurrentAuth() auth,
): Promise<User> {
  const ability = this.caslAbilityFactory.createForAuth(auth);

  if (ability.cannot(Action.Update, { id: input.id }) {
    throw new ForbiddenException();
  }

  return this.usersService.update(input.id, input);
}

当前@CheckPolicies装饰器仅能校验用户是否拥有User的Update操作权限，但我需要进一步验证用户是否能更新特定用户实体（比如请求者是该用户的所有者时才允许）。现在想知道如何在加载用户实体前完成这个检查？

目前有两种思路：

• 先加载用户实体，再执行权限检查，之后进行更新操作
• 通过new User({ id })模拟实体对象来做权限检查

有没有更优的解决方案？

优化方案推荐 #

1. 优化模拟实体检查逻辑 #

你当前用{ id: input.id }模拟实体的思路可行，但可以更严谨：根据isOwner规则的依赖字段，补充必要的属性，确保权限校验逻辑能准确匹配。

比如假设isOwner是通过对比目标用户ID和当前请求用户ID实现的，调整检查代码：

// 构建包含权限规则所需字段的模拟对象
const targetUser = { id: input.id, ownerId: auth.id };
if (ability.cannot(Action.Update, targetUser)) {
  throw new ForbiddenException();
}

这种方式不需要提前查询数据库，性能最优，且能精准触发权限规则判断。

2. 将特定实体检查整合到守卫层 #

可以扩展@CheckPolicies装饰器的能力，让它能直接获取解析器的输入参数和当前用户信息，在守卫阶段完成特定实体的权限校验，避免在解析器中重复写检查逻辑。

示例代码如下：

// 自定义带参数的权限校验装饰器
export const CheckUpdateUserPolicy = createParamDecorator(
  (_, ctx) => {
    const input = ctx.getArgByIndex(0); // 获取UpdateUserInput参数
    const auth = ctx.getArgByIndex(2); // 获取当前用户信息
    const ability = caslAbilityFactory.createForAuth(auth);
    return ability.can(Action.Update, { id: input.id });
  }
);

// 解析器中使用自定义装饰器
@Mutation(() => User)
@UseGuards(PoliciesGuard)
@CheckUpdateUserPolicy()
async updateUser(
  @Args("input") input: UpdateUserInput,
  @CurrentAuth() auth,
): Promise<User> {
  return this.usersService.update(input.id, input);
}

这种方式把权限校验逻辑集中到守卫层，解析器代码更简洁，同时实现了加载实体前的校验。

3. 结合ORM使用CASL条件查询 #

如果你的usersService基于支持查询条件的ORM（如TypeORM、Prisma），可以用CASL生成对应的查询条件，在查询实体时直接完成权限过滤：

async updateUser(
  @Args("input") input: UpdateUserInput,
  @CurrentAuth() auth,
): Promise<User> {
  const ability = this.caslAbilityFactory.createForAuth(auth);
  // 生成符合权限规则的查询条件
  const permissionConditions = buildQuery(ability, Action.Update, User);
  // 合并ID条件，查询目标用户
  const targetUser = await this.usersService.findOne({
    ...permissionConditions,
    id: input.id
  });

  if (!targetUser) {
    throw new ForbiddenException();
  }

  return this.usersService.update(input.id, input);
}

这种方式既完成了权限校验，又避免了额外的检查步骤，同时确保只有符合权限的实体能被查询到。

方案对比 #

• 加载实体后检查：逻辑最直观，但会多一次数据库查询（若更新操作需复用实体可抵消），适合权限规则依赖实体多个字段的场景。
• 模拟实体检查：性能最优，无需数据库查询，适合权限规则仅依赖少量已知字段（如ID、所有者ID）的场景。
• 整合到守卫层：代码更整洁，权限逻辑集中管理，适合多个解析器有相同校验需求的场景。
• CASL条件查询：与ORM高度结合，适合需要同时完成实体查询和权限校验的场景。

内容的提问来源于stack exchange，提问作者albertfdp