NestJS如何使用多个JWT密钥实现请求验证失败自动切换

Passport JWT策略默认的secretOrKey是静态配置项，仅支持单个密钥校验，在构造函数外层包裹try/catch无法捕获请求到达后的签名校验错误，这是你之前的实现不生效的核心原因。

官方提供了secretOrKeyProvider配置项用于动态加载校验密钥，天然支持多密钥依次尝试的逻辑，直接修改策略配置即可实现需求，不需要改动现有守卫或业务逻辑。

实现代码 #

import { Injectable, UnauthorizedException } from '@nestjs/common';
import { PassportStrategy } from '@nestjs/passport';
import { ExtractJwt, Strategy } from 'passport-jwt';
import { ConfigService } from '@nestjs/config';
import { Request } from 'express';
import * as jwt from 'jsonwebtoken';
// 替换为你项目中实际的UserService引入路径
import { UserService } from './user.service';

@Injectable()
export class JwtStrategy extends PassportStrategy(Strategy) {
  constructor(
    private readonly configService: ConfigService,
    private readonly userService: UserService
  ) {
    super({
      jwtFromRequest: ExtractJwt.fromExtractors([
        (request: Request) => request?.cookies?.Authentication,
      ]),
      // 替换静态secretOrKey为动态密钥提供者
      secretOrKeyProvider: (
        _request: Request,
        rawJwtToken: string,
        done: (err: any, secret?: string) => void
      ) => {
        // 按优先级排列待尝试的密钥，建议将当前生效的新密钥放在首位减少校验耗时
        const secretList = [
          configService.get('JWT_SECRET_FIRST'),
          configService.get('JWT_SECRET_SECOND')
        ];

        const attemptVerify = (index: number) => {
          if (index >= secretList.length) {
            return done(new UnauthorizedException('身份凭证无效'), null);
          }
          jwt.verify(rawJwtToken, secretList[index], (err) => {
            if (err) return attemptVerify(index + 1);
            return done(null, secretList[index]);
          });
        };

        attemptVerify(0);
      },
    });
  }

  // 原有validate方法保持原有逻辑无需修改
  async validate(payload: any) {
    const user = await this.userService.findById(payload.sub);
    if (!user) throw new UnauthorizedException();
    return user;
  }
}

注意事项 #

• 代码中使用的jsonwebtoken包是NestJS JWT模块的默认自带依赖，不需要额外安装
• 密钥列表顺序按使用频率排序，常用密钥放最前可以降低校验开销
• 不要在构造函数阶段编写请求相关的校验逻辑：构造函数仅在应用启动时执行一次，无法处理每个请求的校验流程

内容的提问来源于stack exchange，提问作者Erika