NestJS中AuthGuard未调用JwtStrategy的原因排查

核心问题定位 #

你的JwtStrategy构造函数执行但validate从未触发，且若未看到canActivate JwtAuthGuard的日志，说明守卫根本未生效，结合接口始终返回未授权，大概率是JWT策略配置错误或模块注册遗漏导致的。

具体排查点 #

1. RS256算法的密钥配置错误 #

你使用了RS256非对称加密算法，但JwtStrategy中错误地使用了secretOrKey参数。RS256验证令牌需要公钥，而非对称密钥，Passport无法用对称密钥验证RS256签名的令牌，会直接返回未授权，不会进入validate步骤。

修改JwtStrategy的配置：

@Injectable()
export class JwtStrategy extends PassportStrategy(Strategy) {
  constructor(
    private configService: ConfigService,
    private readonly usersService: UsersService,
  ) {
    console.log('Initializing JwtStrategy');
    super({
      jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
      ignoreExpiration: false,
      algorithms: ['RS256'],
      publicKey: configService.get<string>('jwt.publicKey'), // 替换为你的公钥配置项
    });
  }

  // ... validate逻辑不变
}

同时确保登录接口生成JWT时，用私钥和RS256算法签名：

// AuthService中的登录方法示例
async generateToken(user: User) {
  const payload = { sub: user.uuid };
  return this.jwtService.sign(payload, {
    algorithm: 'RS256',
    privateKey: this.configService.get<string>('jwt.privateKey'),
  });
}

2. AuthModule的注册不完整 #

确认AuthModule中正确注册了JwtModule、JwtStrategy和JwtAuthGuard，并且JwtModule配置了签名所需的私钥：

@Module({
  imports: [
    JwtModule.registerAsync({
      useFactory: (configService: ConfigService) => ({
        privateKey: configService.get<string>('jwt.privateKey'),
        signOptions: { algorithm: 'RS256' },
      }),
      inject: [ConfigService],
    }),
  ],
  providers: [AuthService, JwtStrategy, JwtAuthGuard],
  exports: [JwtAuthGuard, JwtModule], // 确保其他模块能注入守卫
})
export class AuthModule {}

3. 守卫未被正确应用 #

检查控制器所在模块是否导入了AuthModule，如果没有导入，@UseGuards(JwtAuthGuard)会因依赖缺失而无法生效，此时守卫的canActivate日志不会输出。

比如用户模块需要导入AuthModule：

@Module({
  imports: [AuthModule],
  controllers: [UserController],
  providers: [UserService],
})
export class UserModule {}

4. 全局守卫的冲突 #

如果main.ts中注册了全局守卫，比如：

app.useGlobalGuards(new SomeGlobalGuard());

可能会覆盖局部守卫的执行，需要确保全局守卫不会拦截JwtAuthGuard的逻辑，或者调整守卫的执行顺序。

验证步骤 #

1. 启动服务后，确认能看到canActivate JwtAuthGuard的日志，说明守卫已生效；
2. 携带正确的Bearer令牌请求/profile接口，检查是否触发validating JwtStrategy日志；
3. 如果仍未触发，用JWT解析工具验证令牌的算法是否为RS256，签名是否与你的公钥匹配。

内容的提问来源于stack exchange，提问作者itinance