NestJS中Passport策略validate()执行两次及参数异常求助

问题原因分析 #

1. validate()执行两次的根本原因 #

你同时启用了Passport认证中间件和Nest AuthGuard全局守卫，两者都会触发Passport策略的认证流程：

• AuthMiddleware中直接调用passport.authenticate()，这会第一次触发策略的validate()方法
• 全局注册的AccessGuard继承自AuthGuard，其内部逻辑会再次调用Passport的认证流程，导致validate()第二次执行
• 即使移除AuthorizationGuard，AccessGuard仍在工作，加上中间件的调用，两次执行的现象不会消失

2. req.params取值不同的原因 #

两次执行处于Nest请求生命周期的不同阶段：

• 第一次是在AuthMiddleware阶段：此时Nest尚未完成路由匹配与参数解析，req.params是Express原生的路径匹配结果（未被Nest处理），所以显示{"0": "client/account/xxxx"}
• 第二次是在AccessGuard阶段：此时Nest已经完成路由解析，正确识别了@Get(':internalId')定义的参数，所以req.params包含internalId字段

解决思路与代码修改 #

核心原则：不要同时使用Passport中间件和Nest AuthGuard，二者选其一实现认证逻辑。

方案一：移除AuthMiddleware，用AccessGuard动态选择策略 #

保留全局守卫，在Guard内部根据请求路径选择对应的认证策略，避免重复认证：

@Injectable()
export class AccessGuard extends AuthGuard() {
  constructor() {
    super();
  }

  async canActivate(context: ExecutionContext): Promise<boolean> {
    const req = context.switchToHttp().getRequest();
    // 根据路径动态选择策略
    const strategy = req.originalUrl.includes('/admin/') ? 'jwt' : 'headerapikey';
    // 动态设置认证策略并执行
    return (super.setOptions({ strategy }) as CanActivate).canActivate(context);
  }
}

同时删除AppModule中的AuthMiddleware注册：

export class AppModule implements NestModule {
  configure(consumer: MiddlewareConsumer) {
    consumer.apply(Sentry.Handlers.requestHandler()).forRoutes({
      path: '*',
      method: RequestMethod.ALL,
    });
    // 移除这一行：consumer.apply(AuthMiddleware).forRoutes('*');
  }
}

方案二：移除AccessGuard，用AuthMiddleware处理认证 #

如果更倾向于用中间件实现，移除全局注册的AccessGuard，仅保留AuthMiddleware：
在AuthModule的forRoot()中删除AccessGuard的APP_GUARD注册：

static forRoot(): DynamicModule {
  return {
    module: AuthModule,
    imports: [PassportModule.register({})],
    providers: [
      ApiKeyStrategy,
      JwtStrategy,
      // 移除这一段：
      // {
      //   provide: APP_GUARD,
      //   useClass: AccessGuard,
      // },
      {
        provide: APP_GUARD,
        useClass: AuthorizationGuard,
      },
    ],
  };
}

注意：此方案下，中间件运行在路由解析前，req.params在validate()中无法获取Nest解析后的参数。如果需要用到路由参数，建议优先选择方案一。

额外注意事项 #

• Nest的AuthGuard会自动整合到请求生命周期的正确阶段，确保路由解析完成后再执行认证，能获取正确的req.params
• 若必须使用中间件，可通过调整中间件执行顺序确保其在路由解析后运行，但这种方式复杂度较高，不推荐

内容的提问来源于stack exchange，提问作者scr4bble