NestJS使用Casl实现权限守卫时，装饰器值获取失败问题排查

你当前的Permission装饰器是把action的值作为metadata的key，而Guard里却用固定字符串'action'和'subject'去获取metadata，两者的key不匹配，自然拿不到值。比如调用Permission(Action.Create,'User')时，实际是往metadata里存了{ [Action.Create]: 'User' }，而Guard里找的是key为'action'和'subject'的数据，必然返回undefined。

统一metadata的存储key，把action和subject打包成对象存储，具体修改如下：

1. 修改Permission装饰器 #

定义一个固定的metadata key，将action和subject作为对象存入：

import { SetMetadata } from '@nestjs/common';

// 定义固定的metadata key
export const PERMISSION_KEY = 'PERMISSION';

export const Permission = (action: string, subject: string) => 
  SetMetadata(PERMISSION_KEY, { action, subject });

2. 更新Permission Guard #

通过固定的PERMISSION_KEY获取完整的权限配置：

import { Injectable, CanActivate, ExecutionContext } from '@nestjs/common';
import { Reflector } from '@nestjs/core';
import { Observable } from 'rxjs';
import { CaslAbilityFactory } from './ability.factory';
import { Action } from './action.enum';
import { User } from 'src/persistent/entity/user.entity';
// 引入定义的key
import { PERMISSION_KEY } from './permission.decorator';

@Injectable()
export class PermissionGuard implements CanActivate {
  constructor(
    private reflector: Reflector,
    private caslAbilityFactory: CaslAbilityFactory
  ) { }
  
  canActivate(context: ExecutionContext): boolean | Promise<boolean> | Observable<boolean> {
    // 获取权限配置
    const permission = this.reflector.get<{ action: Action; subject: string }>(
      PERMISSION_KEY,
      context.getHandler() // 从方法元数据中获取
    );

    if (!permission) {
      // 如果没有配置权限，可根据需求返回true或false
      return false;
    }

    const { action, subject } = permission;
    const request = context.switchToHttp().getRequest();
    const user = request.user;

    console.log('**', action, subject); // 现在能拿到正确的值了
    return this.matchPermission(user, action, subject);
  }

  private matchPermission(user: User, action: Action, subject: string): boolean {
    const ability = this.caslAbilityFactory.createForUser(user);
    return ability.can(action, subject);
  }
}

3. 验证使用方式 #

原控制器的使用方式无需修改，保持原样即可：

@Controller('user')
export class UserController {
  constructor( private readonly userUsecase: UserUsecase) { }
  
  @UseGuards(JwtAuthGuard,PermissionGuard)
  @Permission(Action.Create,'User')
  @Post()
  create(@Body() createUserDto: CreateUserDto,@Request() req) {
    return this.userUsecase.create(createUserDto,req.user)
  }
}

• 确保Action枚举的成员值是字符串类型（如Create = 'create'），和CASL的action命名规范保持一致。
• 如果需要支持控制器级别的权限配置，可以在Guard中结合context.getClass()和reflector.getAllAndMerge()来合并方法和控制器的元数据。

内容的提问来源于stack exchange，提问作者morteza mortezaie