Guards καθορίζουν αν μια αίτηση επιτρέπεται να συνεχίσει προς τον handler της διαδρομής — είναι ο αποκλειστικός μηχανισμός του NestJS για εξουσιοδότηση (και συχνά ελέγχους ταυτοποίησης). Ένα guard επιστρέφει true για να επιτρέψει την αίτηση ή false/πετάει εξαίρεση για να τη μπλοκάρει.
@Injectable()
export class AuthGuard implements CanActivate {
canActivate(context: ExecutionContext): boolean {
const request = context.switchToHttp().getRequest();
return !!request.headers.authorization; // true = allow, false = block (403)
}
}
Ένα guard υλοποιεί canActivate(), η οποία επιστρέφει ένα boolean (ή Promise/Observable του). Η επιστροφή false μπλοκάρει την αίτηση με 403; μπορείς επίσης να πετάξεις μια συγκεκριμένη εξαίρεση (π.χ. UnauthorizedException).
@UseGuards(AuthGuard) // on a single route
@Get("profile")
getProfile() {}
@UseGuards(AuthGuard) // on a whole controller (all routes)
@Controller("admin")
export class AdminController {}
app.useGlobalGuards(new AuthGuard()); // globally (all routes)
Τα guards μπορούν να εφαρμοστούν σε επίπεδο μεθόδου, ελεγκτή ή παγκοσμίως.
@Injectable()
export class JwtAuthGuard implements CanActivate {
constructor(private jwtService: JwtService) {}
async canActivate(context: ExecutionContext): Promise<boolean> {
const request = context.switchToHttp().getRequest();
const token = request.headers.authorization?.split(" ")[1];
if (!token) throw new UnauthorizedException();
try {
request.user = await this.jwtService.verifyAsync(token); // attach the user
return true;
} catch {
throw new UnauthorizedException("Invalid token");
}
}
}
// a @Roles decorator stores required roles as metadata
@Roles("admin")
@Get("users")
listUsers() {}
// the RolesGuard reads the metadata and checks the user's roles
@Injectable()
export class RolesGuard implements CanActivate {
constructor(private reflector: Reflector) {}
canActivate(ctx: ExecutionContext): boolean {
const roles = this.reflector.get<string[]>("roles", ctx.getHandler());
const { user } = ctx.switchToHttp().getRequest();
return roles.some(role => user.roles?.includes(role)); // allow if the user has a required role
}
}
Η συνδυασμός του διακοσμητή @Roles() (μεταδεδομένα) με ένα guard που το διαβάζει (μέσω Reflector) είναι το τυπικό μοτίβο για έλεγχο πρόσβασης βάσει ρόλου.
The ExecutionContext gives guards rich info (the handler, class, request) — more
than plain middleware — which is why guards (not middleware) are the right place
for authorization decisions.
Τα guards είναι ο αποκλειστικός, ιδιωματικός μηχανισμός του NestJS για εξουσιοδότηση — έλεγχος ποιες αιτήσεις επιτρέπεται να φτάσουν στους handlers με βάση την ταυτοποίηση και τα δικαιώματα.
Η κατανόησή τους είναι απαραίτητη επειδή σχεδόν κάθε πραγματική εφαρμογή πρέπει να προστατεύσει τις διαδρομές (απαίτηση σύνδεσης, έλεγχος ρόλων/δικαιωμάτων), και τα guards είναι το σωστό εργαλείο για αυτό (πολύ καθαρότερο από το να σπρώχνεται η λογική ταυτοποίησης σε middleware ή σε κάθε handler).
Τα τυπικά μοτίβα — ένα guard JWT/ταυτοποίησης που επαληθεύει τις διαπιστεύσεις και συνδέει τον χρήστη με την αίτηση, και guards βάσει ρόλου που συνδυάζουν ένα διακοσμητή @Roles() με ένα guard που διαβάζει Reflector για RBAC — είναι θεμελιώδη για την ασφάλιση των NestJS APIs.
Η πρόσβαση των guards στο πλούσιο ExecutionContext (γνώση του στοχευμένου handler, της κλάσης και της αίτησης) είναι ακριβώς αυτό που τα καθιστά κατάλληλα για αποφάσεις εξουσιοδότησης που το middleware δεν μπορεί να πάρει καθαρά.
Το να γνωρίζεις πώς να γράφεις, εφαρμόζεις (μέθοδος/ελεγκτής/παγκοσμίως) και συνδυάζεις guards με διακοσμητές μεταδεδομένων είναι βασική γνώση για την κατασκευή ασφαλών εφαρμογών NestJS και είναι ένα συχνό, αρχιτεκτονικά σημαντικό θέμα στο framework.