如何在NestJS中为公开帖子条件性跳过认证守卫？

核心问题说明 #

NestJS的装饰器在应用启动阶段执行，无法获取请求时的动态参数（如URL中的帖子ID），因此不能直接在装饰器中执行数据库查询。正确的做法是通过自定义守卫处理请求时的动态逻辑，再用装饰器绑定守卫。

实现步骤 #

1. 创建自定义帖子认证守卫 #

这个守卫会先检查帖子是否公开，若公开则直接放行；若需要层级权限，则复用你现有的认证逻辑并检查用户层级是否匹配帖子要求。

import { Injectable, CanActivate, ExecutionContext, UnauthorizedException, NotFoundException } from '@nestjs/common';
import { PostsService } from './posts.service'; // 你的帖子业务服务
import { AuthenticateUserGuard } from './authenticate-user.guard'; // 你已有的用户认证守卫

@Injectable()
export class PostAuthGuard implements CanActivate {
  constructor(
    private readonly postsService: PostsService,
    private readonly authenticateUserGuard: AuthenticateUserGuard, // 注入已有守卫复用逻辑
  ) {}

  async canActivate(context: ExecutionContext): Promise<boolean> {
    const request = context.switchToHttp().getRequest();
    const postId = request.params.id;

    // 1. 查询目标帖子信息
    const post = await this.postsService.findOne(postId);
    if (!post) {
      throw new NotFoundException('帖子不存在');
    }

    // 2. 公开帖子直接放行，跳过所有认证逻辑
    if (!post.tier) {
      return true;
    }

    // 3. 非公开帖子，先执行已有用户认证逻辑（确保req.user存在）
    const isAuthenticated = await this.authenticateUserGuard.canActivate(context);
    if (!isAuthenticated) {
      throw new UnauthorizedException('身份认证失败');
    }

    // 4. 检查用户层级是否匹配帖子要求
    const user = request.user;
    // 可根据需求调整层级规则，比如business层级可访问pro内容
    if (user.tier !== post.tier && user.tier !== 'business') {
      throw new UnauthorizedException('用户层级权限不足');
    }

    return true;
  }
}

2. 创建绑定守卫的装饰器 #

用装饰器简化端点的守卫绑定，保持代码整洁：

import { UseGuards } from '@nestjs/common';
import { PostAuthGuard } from './post-auth.guard';

export function PostAuthenticate() {
  return UseGuards(PostAuthGuard);
}

3. 在端点使用装饰器 #

直接在帖子详情等端点上使用@PostAuthenticate()即可：

import { Controller, Get, Param } from '@nestjs/common';
import { PostsService } from './posts.service';
import { PostAuthenticate } from './post-authenticate.decorator';

@Controller('posts')
export class PostsController {
  constructor(private readonly postsService: PostsService) {}

  @Get(':id')
  @PostAuthenticate()
  async getPostDetail(@Param('id') postId: string) {
    return this.postsService.findOne(postId);
  }
}

关键注意事项 #

• 确保PostsService、AuthenticateUserGuard等依赖已在模块的providers中注册，守卫才能正常注入。
• 守卫的canActivate方法支持异步操作，可直接执行数据库查询等异步逻辑。
• 若需要复用Authenticate()的令牌刷新逻辑，可在AuthenticateUserGuard中包含该逻辑，或单独注入令牌服务处理。

内容的提问来源于stack exchange，提问作者HSE