NestJS装饰器中如何解码JWT Cookie及解决过期校验失效问题

问题原因说明 #

• 装饰器属于TypeScript语法层特性，在类/方法定义阶段就会执行，此时NestJS的依赖注入容器还未完成初始化，因此无法直接在装饰器中注入JwtService实例。
• jwt-decode库的设计定位是仅解析JWT的明文payload，不会做签名校验、过期时间校验，因此过期JWT也能正常解码，不适合用于鉴权场景。

推荐方案：守卫 + 参数装饰器组合（符合NestJS最佳实践） #

这种方案利用NestJS守卫支持依赖注入的特性，在校验阶段完成JWT的解码和合法性校验，再通过参数装饰器直接获取已校验的用户信息，兼顾依赖注入的便利性和校验逻辑的统一性。

步骤1：实现JWT Cookie守卫 #

import { Injectable, CanActivate, ExecutionContext, UnauthorizedException } from '@nestjs/common';
import { JwtService } from '@nestjs/jwt';
import { Request } from 'express';

@Injectable()
export class JwtCookieGuard implements CanActivate {
  constructor(private jwtService: JwtService) {}

  async canActivate(context: ExecutionContext): Promise<boolean> {
    const request = context.switchToHttp().getRequest<Request>();
    const token = request.cookies?.access_token; // 替换为实际存储JWT的Cookie名称
    if (!token) {
      throw new UnauthorizedException('未携带JWT凭证');
    }
    try {
      // verifyAsync会自动校验签名、过期时间等合法性字段
      const payload = await this.jwtService.verifyAsync(token, {
        secret: process.env.JWT_SECRET, // 替换为实际的JWT签名密钥，建议通过配置服务读取
      });
      // 校验通过后将用户信息挂载到请求对象上
      request.user = payload;
    } catch (err) {
      throw new UnauthorizedException('JWT无效或已过期');
    }
    return true;
  }
}

步骤2：实现获取用户信息的参数装饰器 #

import { createParamDecorator, ExecutionContext } from '@nestjs/common';

export const JwtUser = createParamDecorator(
  (data: unknown, context: ExecutionContext) => {
    const request = context.switchToHttp().getRequest();
    return request.user;
  },
);

步骤3：在控制器中使用 #

import { Controller, Get, UseGuards } from '@nestjs/common';

@Controller('user')
@UseGuards(JwtCookieGuard) // 可装饰控制器全局生效，也可单独装饰路由
export class UserController {
  @Get('profile')
  getProfile(@JwtUser() user: any) {
    // 直接拿到已经校验完成的用户信息
    return user;
  }
}

备选方案：直接在装饰器内完成校验 #

如果不需要复用校验逻辑，想要更轻量的实现，可以直接在装饰器内调用jsonwebtoken的verify方法完成校验，无需依赖注入。

import { createParamDecorator, ExecutionContext, UnauthorizedException } from '@nestjs/common';
import * as jwt from 'jsonwebtoken';

export const DecodeJwtCookie = createParamDecorator(
  (data: unknown, context: ExecutionContext) => {
    const request = context.switchToHttp().getRequest();
    const token = request.cookies?.access_token;
    if (!token) {
      throw new UnauthorizedException('未携带JWT凭证');
    }
    try {
      // verify方法会自动校验签名、过期时间
      return jwt.verify(token, process.env.JWT_SECRET);
    } catch (err) {
      throw new UnauthorizedException('JWT无效或已过期');
    }
  },
);

注意事项 #

• 所有JWT校验必须使用verify类方法，不要依赖decode类方法做鉴权，避免出现伪造、过期JWT仍能通过校验的安全问题。
• 密钥不要硬编码在代码中，建议通过环境变量、配置服务读取，避免密钥泄露。
• TS环境下使用jsonwebtoken需要安装类型依赖：npm i @types/jsonwebtoken -D

内容的提问来源于stack exchange，提问作者aaaaaaaaaaaaaaaa