@casl/ability中can方法始终返回true，文章更新权限控制失效

核心问题分析 #

你的代码存在两个关键问题导致权限校验失效：

1. 权限规则字段不匹配：你期望判断文章的autherId与用户ID一致，但规则中写的是userId: user.id，字段名不对应，导致实例级条件永远无法匹配。
2. 校验方式错误：调用ability.can(Action.Update, articles)时传入的是文章类型而非具体实例，CASL对类型级别的权限检查会忽略实例条件，只要存在针对该类型的任何权限（哪怕是带条件的）就会返回true。

具体修复步骤 #

1. 修正CaslAbilityFactory中的权限规则 #

将规则中的字段名改为你实际使用的autherId（如果是拼写错误应为authorId，请对应调整）：

@Injectable()
export class CaslAbilityFactory {
  createForUser(user: users) {
    const { can, cannot, build } = new AbilityBuilder(createMongoAbility);

    if (user.IsAdmin) {
      can(Action.Manage, 'all'); // 管理员拥有所有权限
    } else {
      can(Action.Read, 'all'); // 普通用户默认只读所有内容
      // 修正字段名，匹配文章的作者ID字段
      can(Action.Update, articles, { autherId: user.id });
      can(Action.Delete, articles, { autherId: user.id });
    }

    const ability = build();
    return ability;
  }
}

2. 修改接口函数的校验逻辑 #

先从数据库获取要更新的文章实例，再用实例进行权限校验：

@Patch('/:id')
@UseGuards(JwtAuthGuard)
async updateArticle(
  @currentUser() user: users,
  @Param('id') id: number,
  @Body() updateArticle: UpDateArticle,
) {
  // 获取要更新的文章实例
  const targetArticle = await this.articleservice.getArticleById(id);
  if (!targetArticle) {
    throw new NotFoundException('文章不存在');
  }

  const ability = this.caslAbilityFactory.createForUser(user);
  // 传入具体文章实例进行校验
  if (!ability.can(Action.Update, targetArticle)) {
    throw new ForbiddenException('用户无权更新该文章');
  }

  return this.articleservice.updateArticle(id, updateArticle);
}

额外说明 #

• CASL的实例级权限规则（带条件的can）必须传入具体对象才能生效，类型级检查仅适用于无实例条件的场景（比如“允许所有用户创建文章”）。
• 管理员的Action.Manage权限已经包含了对所有资源的所有操作，因此无需再为管理员单独添加Update/Delete规则，将普通用户的特殊权限放到else块中更合理。

内容的提问来源于stack exchange，提问作者amgad abdo14x