Guard 与认证

这一课你将能做到

1. 实现登录接口签发 JWT，并写出可校验 Bearer Token 的 JwtAuthGuard
2. 用自定义 @Roles() 装饰器配合 RolesGuard 做角色控制（仅管理员能增删题目）
3. 区分 401 与 403，说出全局 Guard 加 @Public() 的放行模式

为什么要学

Guard（守卫）在请求进入 Controller 之前回答一个问题：「这个请求有资格继续吗？」判定包括是否登录、令牌是否有效、角色是否足够；不通过时框架直接返回 401/403，业务方法不会执行。

刷题平台规则：浏览做题人人可访问，增删改仅管理员，提交作答必须登录。这些判断散落在 Service 中必然重复易漏，Guard 把鉴权收敛成前置层，对应 Spring Security 过滤器链加 @PreAuthorize。

先建立图像

请求 → Guard（认证/鉴权）──失败→ 401（未认证）/ 403（无权限）
     → Pipe（校验转换）→ Controller → Service

JWT：login 拿 access_token；请求带 Bearer 头，
Guard 验签验过期并把用户挂到 request.user。

NestJS	Spring Security
CanActivate	请求过滤器 / 鉴权决策器
@UseGuards(...)	@PreAuthorize 方法级安全
request.user	SecurityContextHolder 中的 Principal
全局 Guard + @Public()	默认拦截 + permitAll() 白名单

跟着做

步骤 1：安装 JWT 模块并创建 AuthModule

npm install @nestjs/jwt
nest g module auth && nest g controller auth --no-spec && nest g service auth --no-spec

步骤 2：实现登录签发 Token

src/auth/auth.service.ts：

import { Injectable, UnauthorizedException } from "@nestjs/common";
import { JwtService } from "@nestjs/jwt";

export type Role = "student" | "admin";

interface UserRow {
  id: number; username: string; password: string; role: Role;
}

@Injectable()
export class AuthService {
  // 接库后换真实查询，密码存哈希
  private users: UserRow[] = [
    { id: 1, username: "student1", password: "123456", role: "student" },
    { id: 2, username: "admin", password: "admin123", role: "admin" },
  ];

  constructor(private readonly jwt: JwtService) {}

  login(username: string, password: string) {
    const user = this.users.find((u) => u.username === username && u.password === password);
    if (!user) {
      throw new UnauthorizedException("用户名或密码错误");
    }
    const payload = { sub: user.id, username: user.username, role: user.role };
    return { access_token: this.jwt.sign(payload) };
  }
}