NestJS全局AuthGuard失效：未加Public装饰器的路由可无限制访问

问题排查与解决办法 #

针对NestJS全局AuthGuard不生效、未标记Public的路由也能随意访问的问题，整理了几个核心排查点和解决步骤：

1. 确认全局守卫是否注册成功 #

首先得保证APP_GUARD从@nestjs/core正确导入，且AuthGuard所在的模块（比如AuthModule）已被AppModule导入——这是全局守卫生效的基础。

修改app.module.ts：

import { Module, APP_GUARD } from '@nestjs/core'; // 必须导入APP_GUARD
import { AuthModule } from './auth/auth.module'; // 假设AuthGuard在AuthModule中
import { AppService } from './app.service';
import { AuthGuard } from './auth/auth.guard';

@Module({
  imports: [AuthModule], // 务必导入包含AuthGuard的模块
  providers: [
    AppService,
    {
      provide: APP_GUARD,
      useClass: AuthGuard,
    },
  ],
})
export class AppModule {}

2. 检查JwtService是否正确注册 #

AuthGuard依赖JwtService，必须在模块中注册JwtModule。推荐在AuthModule中全局注册，避免重复导入：

import { JwtModule } from '@nestjs/jwt';
import { jwtConstants } from './constants';

@Module({
  imports: [
    JwtModule.register({
      global: true, // 全局注册，全项目可用
      secret: jwtConstants.secret,
      signOptions: { expiresIn: '60s' }, // 可选，按需设置Token过期时间
    }),
  ],
  providers: [AuthGuard],
  exports: [AuthGuard],
})
export class AuthModule {}

3. 确保IS_PUBLIC_KEY路径一致 #

AuthGuard中导入的IS_PUBLIC_KEY必须和Public装饰器里定义的是同一个值，别搞错导入路径。如果Public装饰器在auth/public.decorator.ts，AuthGuard要从该文件导入：

// auth/auth.guard.ts
import { IS_PUBLIC_KEY } from './public.decorator'; // 替换原有的'./utils'导入

4. 加日志验证守卫是否执行 #

在canActivate方法开头加日志，确认守卫是否被触发：

async canActivate(context: ExecutionContext): Promise<boolean> {
  console.log('AuthGuard 正在执行'); // 添加日志
  const isPublic = this.reflector.getAllAndOverride<boolean>(IS_PUBLIC_KEY, [
    context.getHandler(),
    context.getClass(),
  ]);
  // ... 剩余逻辑不变
}

如果控制台没输出这条日志，说明守卫未注册成功，回到第一步重新排查。

5. 检查请求是否意外携带有效Token #

有时候测试时可能没注意，请求头里带了有效的Bearer Token，导致守卫验证通过，误以为守卫失效。用Postman测试时，记得清空Authorization头再发送请求。

测试验证 #

给控制器配置两个路由，一个标记@Public()，一个不标记，验证守卫效果：

import { Public } from './auth/public.decorator';

@Controller('news')
export class NewsController {
  @Post()
  @UseInterceptors(/* 你的文件拦截器配置 */)
  protectedRoute() {
    return '这个路由应该被保护';
  }

  @Get()
  @Public()
  publicRoute() {
    return '这个路由是公开的';
  }
}

不带Token请求POST /news应返回401，请求GET /news应正常返回内容，说明守卫已生效。

内容的提问来源于stack exchange，提问作者Andrew