Saugumo mechanizmai nustato, ar užklausa leidžiama tęsti į maršruto apdorojimo funkciją — tai yra NestJS dedikuotas mechanizmas autorizavimui (ir dažnai autentifikavimo patikrai). Saugumo mechanizmas grąžina true užklausai leisti arba false/meta išimtį ją sustabdyti.
@Injectable()
export class AuthGuard implements CanActivate {
canActivate(context: ExecutionContext): boolean {
const request = context.switchToHttp().getRequest();
return !!request.headers.authorization; // true = allow, false = block (403)
}
}
Saugumo mechanizmas įgyvendina canActivate(), kuris grąžina loginę reikšmę (arba jos Promise/Observable). Grąžinus false, užklausa blokuojama su 403; taip pat galite mesti specifinę išimtį (pvz. UnauthorizedException).
@UseGuards(AuthGuard) // on a single route
@Get("profile")
getProfile() {}
@UseGuards(AuthGuard) // on a whole controller (all routes)
@Controller("admin")
export class AdminController {}
app.useGlobalGuards(new AuthGuard()); // globally (all routes)
Saugumo mechanizmai gali būti taikomi metodo, valdiklio arba globalaus lygio.
@Injectable()
export class JwtAuthGuard implements CanActivate {
constructor(private jwtService: JwtService) {}
async canActivate(context: ExecutionContext): Promise<boolean> {
const request = context.switchToHttp().getRequest();
const token = request.headers.authorization?.split(" ")[1];
if (!token) throw new UnauthorizedException();
try {
request.user = await this.jwtService.verifyAsync(token); // attach the user
return true;
} catch {
throw new UnauthorizedException("Invalid token");
}
}
}
// a @Roles decorator stores required roles as metadata
@Roles("admin")
@Get("users")
listUsers() {}
// the RolesGuard reads the metadata and checks the user's roles
@Injectable()
export class RolesGuard implements CanActivate {
constructor(private reflector: Reflector) {}
canActivate(ctx: ExecutionContext): boolean {
const roles = this.reflector.get<string[]>("roles", ctx.getHandler());
const { user } = ctx.switchToHttp().getRequest();
return roles.some(role => user.roles?.includes(role)); // allow if the user has a required role
}
}
@Roles() dekoratoriaus (metaduomenų) sujungimas su saugumo mechanizmu, kuris jį skaito (per Reflector), yra standartinis šablonas vaidmenimis grįstam prieigos valdymui.
The ExecutionContext gives guards rich info (the handler, class, request) — more
than plain middleware — which is why guards (not middleware) are the right place
for authorization decisions.
Saugumo mechanizmai yra dedikuotas, idiomatinis NestJS mechanizmas autorizavimui — kontroliuojant, kurios užklausos leidžiamos pasiekti apdorojimo funkcijas pagal autentifikavimą ir leidimus.
Jų supratimas yra gyvybiškai svarbus, nes praktiškai kiekviena reali programa turi apsaugoti maršrutus (reikalauti prisijungimo, patikrinti vaidmenis/leidimus), ir saugumo mechanizmai yra teisingas šiam tikslui naudojamas įrankis (daug švariesnis nei autentifikavimo logika dėti į middleware ar kiekvienos funkcijos vidų).
Standartuose šablonuose — JWT/autentifikavimo saugumo mechanizmas, kuris patikrina kredencialus ir prideda vartotoją prie užklausos, bei vaidmenimis grįsti saugumo mechanizmai, kurie sujungia @Roles() dekoratorių su Reflector skaitančiu saugumo mechanizmu dėl RBAC — yra pagrindiniai NestJS API apsaugai.
Saugumo mechanizmų prieiga prie turtingo ExecutionContext (žinant tikslą funkcijos, klasę ir užklausą) yra tiksliai tai, kas juos tinka autorizavimo sprendimams, kuriuos middleware negali šviesiai padaryti.
Žinoti, kaip rašyti, taikyti (metodas/valdiklis/globalus) ir sujungti saugumo mechanizmus su metaduomenų dekoratoriais, yra pagrindinės žinios, reikalingos saugioms NestJS aplikacijoms kurti, ir dažnai pasikartojanti, architekturiniu požiūriu svarbi tema šiame karkase.