NestJS使用Casl校验用户与资源多对多关系权限问题

你的校验始终返回false，核心原因是Casl默认的对象/数组匹配逻辑与你当前的数据结构不兼容：Casl会尝试严格匹配整个User对象，但从数据库查询的user实例和Project中editors数组里的User实例，要么引用不同，要么包含额外字段，导致严格相等判断失败。以下是可行的修复方案：

方案1：基于用户ID匹配（推荐） #

直接通过用户ID校验，这是最高效且可靠的方式，无需依赖完整对象匹配。

修改defineAbility中的规则：

import { includes } from '@casl/ability/operators';

export enum Action {
    Edit = 'Edit',
    View = 'View',
}

export enum Resource {
    Project = 'project',
}

// 无需查询完整User对象，仅用userId即可，优化性能
export const defineAbility = (userId: string) => {
    return defineAbility((can) => {
        // 检查Project的editors数组中是否包含ID匹配的用户
        can(Action.Edit, Resource.Project, {
            editors: includes({ id: userId })
        });
    });
};

如果使用Casl的MongoDB风格匹配器，也可以写成：

can(Action.Edit, Resource.Project, {
    editors: { $elemMatch: { id: userId } }
});

方案2：自定义数组匹配逻辑 #

如果业务需要基于完整User对象校验，可以通过自定义函数实现灵活匹配：

export const defineAbility = async (userId: string) => {
    const user = await this.userService.findOne(userId);
    return defineAbility((can) => {
        can(Action.Edit, Resource.Project, {
            editors: (editors: User[]) => editors.some(editor => editor.id === user.id)
        });
    });
};

关键注意事项 #

• 确保查询Project时，正确关联并返回editors数组的id字段（比如Mongoose的populate('editors', 'id')，或SQL的JOIN查询），否则editors数组为空或缺少id字段会导致校验失败。
• 避免用完整User对象做匹配，不仅性能更低，还容易因对象结构差异导致匹配失效。
• 后续改用守卫时，需确保守卫能正确获取当前用户ID，实例化Ability后调用ability.can()完成校验。

内容的提问来源于stack exchange，提问作者Grzegorz Piątek