NestJS本地认证守卫持续返回401未授权问题求助

1. Passport Local默认字段不匹配（最常见原因） #

Passport Local策略默认从请求中读取username和password字段，但你使用email作为用户标识，导致Passport无法正确获取邮箱参数，最终validate方法中的email为undefined，查不到用户返回401。

修复方案：在LocalStrategy的super()中指定usernameField为email：

@Injectable()
export class LocalStrategy extends PassportStrategy(Strategy) {
  constructor(private authService: AuthService) {
    // 配置字段映射
    super({
      usernameField: 'email',
    });
  }

  async validate(email: string, password: string): Promise<any> {
    const user = await this.authService.validateUser(email, password);

    if (!user) {
      throw new UnauthorizedException();
    }

    return user;
  }
}

2. validateUser方法存在潜在空指针异常 #

当用户不存在时，findOneWithEmail返回null，此时执行bcrypt.compare(password, user.password)会抛出Cannot read properties of null (reading 'password')异常，中断验证流程返回401。

修复方案：先判断用户是否存在，再执行密码校验：

async validateUser(email: string, password: string): Promise<any> {
  const user = await this.usersService.findOneWithEmail(email);

  // 用户不存在直接返回null
  if (!user) {
    return null;
  }

  const isPasswordValid = await bcrypt.compare(password, user.password);

  if (isPasswordValid) {
    // 排除敏感字段password后返回
    const { password, ...result } = user;
    return result;
  }

  return null;
}

3. 请求数据格式不兼容 #

Passport Local默认解析application/x-www-form-urlencoded格式的表单数据，如果前端发送的是JSON格式请求，可能导致Passport无法正确提取参数。

修复方案：
若前端必须用JSON格式，在LocalStrategy中开启passReqToCallback，直接从请求体获取参数：

@Injectable()
export class LocalStrategy extends PassportStrategy(Strategy) {
  constructor(private authService: AuthService) {
    super({
      usernameField: 'email',
      passReqToCallback: true, // 允许将请求对象传递给validate方法
    });
  }

  async validate(req: Request, email: string, password: string): Promise<any> {
    // 也可直接从req.body中读取：const { email, password } = req.body;
    const user = await this.authService.validateUser(email, password);

    if (!user) {
      throw new UnauthorizedException();
    }

    return user;
  }
}

同时确保你的NestJS应用已启用JSON解析（NestJS默认启用，若手动修改过main.ts需确认）。

4. 最后确认控制器Guard使用 #

确保登录接口正确使用AuthGuard('local')：

@Post('login')
@UseGuards(AuthGuard('local'))
async login(@Request() req) {
  return req.user;
}

内容的提问来源于stack exchange，提问作者Gustavo Gonçalves