NestJS+Passport-JWT：如何实现兼容无效JWT的接口？

你的问题核心是当携带无效/过期JWT时，守卫不应拦截请求，仅不注入用户信息。原守卫的问题在于super.canActivate(context)在认证失败时会直接抛出UnauthorizedException，导致返回401，即使你最后返回true也没用，因为异常已经被抛出了。

调整守卫代码如下：

@Injectable()
export class OptionalAccessTokenGuard extends AuthGuard('jwt') {
  async canActivate(context: ExecutionContext): Promise<boolean> {
    try {
      // 尝试执行JWT认证，成功则注入req.user
      await super.canActivate(context);
    } catch (err) {
      // 捕获认证失败的异常（过期、无效等），不做处理
    }
    // 无论认证成功与否，都允许请求继续
    return true;
  }
}

原理说明 #

• super.canActivate(context)内部会调用passport-jwt的验证逻辑：
  • 若JWT有效，会将解析后的用户信息挂载到req.user上；
  • 若JWT无效/过期，会抛出UnauthorizedException或其他认证相关异常。
• 通过try-catch捕获这些异常，避免异常向上传递触发401响应；
• 最后返回true，确保请求能进入控制器方法，此时如果认证失败，req.user会保持undefined，控制器里的userId自然为空。

额外优化（可选） #

如果你想更精确地捕获认证相关异常，而不是所有异常，可以针对性判断错误类型：

import { UnauthorizedException } from '@nestjs/common';
import { TokenExpiredError } from 'jsonwebtoken';

@Injectable()
export class OptionalAccessTokenGuard extends AuthGuard('jwt') {
  async canActivate(context: ExecutionContext): Promise<boolean> {
    try {
      await super.canActivate(context);
    } catch (err) {
      // 只处理JWT相关的认证失败异常
      if (err instanceof UnauthorizedException || err instanceof TokenExpiredError) {
        // 忽略异常，不做处理
      } else {
        // 其他异常重新抛出，避免吞掉非认证错误
        throw err;
      }
    }
    return true;
  }
}

这样既保证了无效JWT不拦截请求，又不会意外吞掉其他业务异常。

内容的提问来源于stack exchange，提问作者Dave