先聊聊为啥要在 NestJS 里搞角色权限

说实话，项目上线后Zui怕的就是有人随意点按钮，数据被乱改。

哈哈，这种情况在后台管理系统里简直是家常便饭。

所以搞个角色模块来把人划分层级，是必须的。

咱就是说有了角色，权限自然Neng跟着走。

先把实体给敲出来别慌，一行代码就Neng把关系映射好。

import { Entity, PrimaryGeneratedColumn, Column, ManyToMany, JoinTable } from 'typeorm';
@Entity
export class UserEntity {
  @PrimaryGeneratedColumn
  id: number;
  @Column
  username: string;
  @ManyToMany => RoleEntity, role => role.users)
 @JoinTable
 roles: RoleEntity;
}

这段代码里@ManyToMany 表示用户和角色是多对多关系。

同理，Role 和 Permission 的关联也这么写：

@Entity
export class RoleEntity {
  @PrimaryGeneratedColumn
  id: number;
  @Column
  name: string;
  @ManyToMany => PermissionEntity, perm => perm.roles)
 @JoinTable
 permissions: PermissionEntity;
 @ManyToMany => UserEntity, user => user.roles)
 users: UserEntity;
}

有了 @JoinTable，TypeORM 会帮你往中间表里插数据。

比如创建一个新角色并绑定几个权限，只要把 Permission 实体数组塞进去就行。

async createRole {
   const perms = await this.permRepo.findByIds;
   const role = this.roleRepo.create;
   return this.roleRepo.save;
}

不需要自己去拼接 INSERT…VALUES，那些事儿交给 ORM 吧。

NestJS 用 Guard 来拦截请求，你Ke以自定义一个基于角色的 Guard。

import { CanActivate, ExecutionContext, Injectable } from '@nestjs/common';
import { Reflector } from '@nestjs/core';
@Injectable
export class RolesGuard implements CanActivate {
   constructor {}
   async canActivate: Promise {
     const requiredRoles = this.reflector.getAllAndOverride('roles', );
     if  return true;
     const request = context.switchToHttp.getRequest;
     const user = request.user; // 假设Yi经经过 JwtAuthGuard 注入
     const userRoles = user.roles.map;
     return requiredRoles.some);
   }
}

然后在控制器上加装饰器：

import { SetMetadata } from '@nestjs/common';
export const Roles =  => SetMetadata;

举个例子，你想让只有管理员才Neng删除用户：

@Delete
@Roles
async remove id:number) {
   // 删除逻辑
}

Ru果请求的 JWT 对应的用户没有 admin 角色，上面的 Guard 会直接抛出 ForbiddenException。

有时候仅靠角色还不够，需要到具体菜单或按钮去控制。

这时Ke以在 Permission 表里加上 type 字段，区分是“页面”还是“按钮”。

然后在前端渲染路由时根据后端返回的 permission 列表过滤掉没有授权的节点。

Ru果你只写了 @ManyToMany 而没有 @JoinTable，那 ORM 会默认在另一侧生成中间表。

结果就是两张相同结构的表，你会hen困惑——别慌，这种情况只要把 @JoinTable 挪到拥有方就好啦。

其实原因大多跟内容质量和站点结构有关。

第一，页面重复太多。百度觉得你这页跟别页几乎一样，就不给收录了；

第二，没有外部链接指向。搜索引擎喜欢被其他站点推荐，没有入口自然难进榜单；

第三，页面加载慢或者返回码不是 200。爬虫进来卡住它们会直接放弃；

所以要想让百度收录，就得确保每篇文章唯一、有价值，还要Zuo好站内外链建设和性Neng优化呀~

CakePHP 那套思路跟 Nest 差不多，把所有路由默认走一次鉴权，然后再根据元数据放行或拦截。

// app.module.ts
@Module({
   imports:,
   providers:,
})
export class AppModule {}

#1 建立三张核心表：users、roles、permissions，以及两张中间表；

#2 用 TypeORM 的 @ManyToMany/@JoinTable 自动维护关联；

#3 编写自定义 RolesGuard 并配合装饰器完成路由级别控制；

#4 如需geng细粒度，可把按钮/接口当成 Permission 再Zuo一次过滤；

#5 注意避免常见坑：忘记 @JoinTable、权限缓存未刷新、守卫未注册等；

#6 Zui后别忘了测试——用 Postman 或 Swagger 手动尝试不同角色访问，同步检查日志有没有被拦截。

说实话，这套方案kan起来挺复杂，但一步步拆开来其实每块douhen直白。

咱们开发者Zui怕的就是“安全漏洞”，而 RBAC 正是把这些漏洞堵在门口的铁栅栏。

哈哈，Ru果你还有啥疑问，比如怎么给用户动态加减角色，或者想集成 Casbin 那种策略引擎，随时留言呗！你懂的，我这边随时补码。