NestJS使用JWT和Passport授权时遇UNAUTHORIZED问题求助

针对你遇到的跨服务JWT授权失败问题，按以下步骤逐一排查：

1. 确认JWT签名算法完全一致 #

Rails生成JWT时默认使用的算法可能与NestJS passport-jwt 的默认配置存在差异。比如Rails若使用HS256以外的算法（如RS256），必须在NestJS策略中显式指定：

super({
  jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
  secretOrKey: config.get('JWT_DOCTOR_SECRET'),
  algorithm: 'HS256', // 替换为Rails实际使用的算法
});

2. 验证签名密钥完全匹配 #

• 检查NestJS环境变量JWT_DOCTOR_SECRET与Rails端的签名密钥是否完全一致，包括大小写、特殊字符、空格，避免复制时出现遗漏或多余字符。
• 可临时将密钥硬编码到策略中测试（测试后改回环境变量），排除环境变量加载异常问题。

3. 排查JWT过期与Payload合法性 #

• 确认Rails生成的JWT包含有效的exp（过期时间）字段，且当前时间未超过该值。可临时在策略中添加ignoreExpiration: true测试，排除过期导致的验证失败：

  super({
    jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
    secretOrKey: config.get('JWT_DOCTOR_SECRET'),
    ignoreExpiration: true, // 仅用于测试，上线前移除
  });
  

• 检查JWT的Payload结构是否符合预期，避免存在passport-jwt默认验证的字段（如iss）不匹配的情况。

4. 确认策略已正确注册到模块 #

确保JwtDoctorStrategy已在AuthModule中注册并导出，否则Guard无法找到对应的验证策略：

@Module({
  providers: [JwtDoctorStrategy],
  exports: [JwtDoctorStrategy], // 供其他模块导入使用
})
export class AuthModule {}

5. 检查请求头格式 #

Postman的Authorization头必须严格遵循Bearer <token>格式：

• 确保Bearer与令牌之间有且仅有一个空格
• 避免拼写错误（如写成Bear或bearer）

6. 日志辅助排查 #

• 在JwtDoctorStrategy的validate方法中添加日志，确认是否进入该方法：若未进入，说明令牌提取失败或签名验证不通过；若进入但仍返回UNAUTHORIZED，需检查后续逻辑。
• 启动NestJS时打印config.get('JWT_DOCTOR_SECRET')，确认环境变量加载正确。

内容的提问来源于stack exchange，提问作者Augusto Araujo