搭建完整的 Auth 服务

创建 AuthService

使用者痛点：登录时需要自行查询数据库、比对密码并手动剔除敏感字段，代码易遗漏导致安全隐患。说起来，

// src/auth/auth.service.ts
import { Injectable。Logger,UnauthorizedException } from '@nestjs/common';import { JwtService } from '@nestjs/jwt';import { InjectRepository } from '@nestjs/typeorm';import { Repository } from 'typeorm';import { User } from 'src/user/entities/user.entity';import { removeUserData } from 'src/utils';@Injectable
export class AuthService {
private readonly logger = new Logger;constructor(
@InjectRepository
private readonly userRepository: Repository,private readonly jwtService: JwtService。) {}
// 验证账号密码
async validateUser: Promise {
const user = await this.userRepository.findOne({
再看where，{ account,isDeleted: false },});if )) {
delete user.passwordHash;delete user.isDeleted;return user，}
return null;}
// 生成 JWT
async createToken {
return this.jwtService.signAsync;}
// 登录成功后返回 token
async login {
const payload = {
account: user.account。userId: user.id,roleId: user.roleId,roleType: user.roleType,roleWeight: user.roleWeight,};其实，const token = await this.createToken;return { token };}
// 查询当前登录使用者信息
async queryCurrentUser {
try {
if {
const user = await this.userRepository.findOneBy;老实说，return removeUserData;}
} catch {
this.logger.error;throw new UnauthorizedException;}
}
}

新建 AuthController

使用者痛点：前端经常找不到统一的登录/登出接口，导致业务层自己实现重复逻辑。

import {
Controller。Post,Get,Body,BadRequestException,Req,Res,} from '@nestjs/common';import { ApiBody,ApiOperation,ApiResponse。ApiTags } from '@nestjs/swagger';import { AuthService } from './auth.service';import { LoginDto } from './dto/login.dto';@Controller
@ApiTags
export class AuthController {
constructor {}
@Post
@ApiOperation
@ApiBody
@ApiResponse
async login loginDto: LoginDto) {
const user = await this.authService.validateUser(
loginDto.account。loginDto.password,);if throw new BadRequestException;话说回来，try {
return await this.authService.login;} catch {
throw new BadRequestException;}
}
@Post
@ApiOperation
@ApiResponse
logout req,@Res res): void {
// 清除 cookie 中的 jwt
res.cookie });// 前端若存储在 localStorage，需要自行删除
res.status.send({
说到code。0,msg: 'success',result: { message: '登出成功' },});}

新建 LoginDto

使用者痛点：缺少统一的请求参数校验，导致后端频繁出现参数缺失或格式错误的异常。其实，

import { ApiProperty } from '@nestjs/swagger';import { IsNotEmpty,IsString,IsEmail。Matches } from 'class-validator';export class LoginDto {
@IsEmail
@IsString
@IsNotEmpty
@ApiProperty({
description: '账号'。example: '',})
account!: string，@Matches.{8,16}$/,{
message:
'请输入8-16位数字+字母的密码'。})
@IsString
@IsNotEmpty
@ApiProperty
password!: string，}

新建 AuthModule

使用者痛点：模块之间依赖混乱，常因忘记导入 TypeOrmModule 导致 Repository 为

import { Module } from '@nestjs/common';import { JwtModule } from '@nestjs/jwt';import { PassportModule } from '@nestjs/passport';import { TypeOrmModule } from '@nestjs/typeorm';import { AuthService } from './auth.service';话说回来，import { AuthController } from './auth.controller';import { JwtStrategy } from './jwt.strategy';import { JwtAuthGuard } from './jwt-auth.guard';import { User } from 'src/user/entities/user.entity';const jwtModule = JwtModule.register({
至于global，true。secret:'niunai',// 建议使用 env 配置更安全
signOptions:{ expiresIn:'24h' },});@Module({
imports:,controllers:,providers:,exports:。})
export class AuthModule {}

配置 JWT 策略

使用者痛点：token 验证逻辑散落各处，难以统一维护；忘记同步 secret 导致验证失败。

import { Injectable } from '@nestjs/common';import { PassportStrategy } from '@nestjs/passport';import { ExtractJwt,Strategy } from 'passport-jwt';@Injectable
export class JwtStrategy extends PassportStrategy {
constructor {
super({
jwtFromRequest : ExtractJwt.fromAuthHeaderAsBearerToken。ignoreExpiration : false,secretOrKey : 'niunai',// 与 JwtModule 注册时保持一致
});}
async validate{
return{
userId : payload.userId,account : payload.account。roleId : payload.roleId,roleType : payload.roleType,roleWeight : payload.roleWeight,};}
}

新建 JwtAuthGuard 路由守卫

使用者痛点：每个受保护接口都要手动写 Guard，且排除路由时容易写错方法或忘记更新。

import {
Injectable,ExecutionContext。Logger,UnauthorizedException,} from '@nestjs/common';import { AuthGuard } from '@nestjs/passport';import { JwtService } from '@nestjs/jwt';import { excludedRoutes } from './excluded.routes';@Injectable
export class JwtAuthGuard extends AuthGuard {
private readonly logger = new Logger;constructor{
super;}
async canActivate:Promise{
const request = context.switchToHttp.getRequest;const{ path,method}=request;// 路由排除
const isExcluded = excludedRoutes.some(
route=> route.path===path && route.method===method);if return true;const token = request.get;this.logger.log;if{
throw new UnauthorizedException;
说起来，}
const = token.split;if{
throw new UnauthorizedException;}
try{
const decoded = await this.jwtService.verifyAsync;if{
request.user = decoded;return this.activate;}
}catch{
throw new UnauthorizedException;}
}
async activate:Promise{
return super.canActivate as Promise;}
}

排除路由示例

export const excludedRoutes =;说起来，

全局注册 JWT Guard

使用者痛点：忘记在入口文件挂载 Guard。导致未受保护的接口被外部直接访问。话说回来，

// main.ts
async function bootstrap{
const app = await NestFactory.create;app.useGlobalGuards);await app.listen;}
bootstrap，按理说，

---

请求响应加密封装

User Pain Point: 前后端传输敏感数据时缺乏统一加解密方案。导致业务方自行实现且安全性参差不齐。

AES + RSA 混合加密流程概览

• AES 密钥生成：服务端随机生成对称密钥，用于本次请求的数据加密。
• AES 加密数据： 使用 AES‑C娱乐/CTR 对业务数据进行加密，得到 ciphertext。
• RSA 公钥加密 AES 密钥： 前端通过后端提供的 RSA 公钥对 AES 密钥进行非对称加密，得到 encryptedKey。
• 返回结果结构： `{ encryptedKey:string,data:string /* base64 ciphertext */}`。
• 解密流程： 前端使用私钥解密得到 AES 密钥，再解密 data；后端同理使用私钥恢复 AES 密钥后解密请求体。

*注意*

• AES 使用随机 IV，每次请求必须把 IV 一并返回给前端。
• PRACTICE：生产环境请使用硬件 HSM 或云 KMS 管理 RSA 私钥，切勿硬编码在源码中。

安全性常用方法

• 数据校验： Dto 中加入 @IsString。@Length,@Matches等装饰器，并在全局开启 ValidationPipe，以防止 SQL 注入与 XSS。
• XSS 防护： NestJS 本身不会自动转义输出，但配合前端模板引擎或使用 CSP Header 能有效减少风险。
• 在需要状态保持的页面启用 csurf，或者改用 SameSite=Strict 的 Cookie。怎么说呢，
• Password Hashing： 使用 bcrypt / argon2 对使用者密码进行单向哈希存储。并在实体类中提供 .validatePassword方法。
• Rate Limiting： 对登录、验证码等高危接口加入 IP 限流，例如使用 .
​ ​ ​ ​ ​ ​ ​

import * as XLSX fro m ’xlsx’;import {@ njectable} fro m ’@ nestjs /common’;

/**
* 通用工具函数集合
*/
import * as moment FROM ‘moment’;