MIDDLEWARE / GUARD / INTERCEPTOR 的区别

下面先用一张流程图把MIDDLEWARE / GUARD / INTERCEPTOR 的执行位置搞清楚，再回答你。

HTTP 请求进来 │ ▼ ┌─────────────────────────────────────────────────┐ │ ──① MIDDLEWARE ──► Express 原生层 │ │ • 最早拿到 req/res 对象 │ │ • 可以修改 req，也可以直接结束响应 │ │ • 不知道后面是哪个 Controller 方法 │ └──────────────────────┬───────────────────────────────┘ ▼ ┌─────────────────────────────────────────────────┐ │ ──② GUARD ───► NestJS 层 │ │ • 决定“能不能进 Controller”│ │ • 可以看到 Controller 类、方法、装饰器│ │ • 返回 true=放行。false=拒绝│ └──────────────────────┬───────────────────────────────┘ ▼ ┌─────────────────────────────────────────────────┐ │ ──③ INTERCEPTOR 前置段 ◄―――――――――――│ ◄―――――――――│ ◄――― 前置段 ←可以看到返回值 + 耗时 ◄－－》│ ⬇︎│ ▲│ ▼├───────▼▼▶▲├───────▲▲▼⌛︎│ 把耗时统计进去 | | | | | | || || || ||| | ||||||

🔑 问题 ：登录鉴权用 Guard 还是 Middleware？说起来，

答：请务必用 GUARD。Middleware 极少用于鉴权。

💡 痛点：如果用 Middleware 鉴权，你必须在代码里硬编码每个需要保护的方法。再看例如，

if ) { /* …其实，*/ }

💡 痛点：Middleware 在最早阶段没有办法读取到控制器类或方法。也无法读取自定义装饰器，如 @Roles，这使得你只能通过方法字符串判断是否需要登录——极其脏且难维护。

• ✅ MIDDLEWARE：
  • - 知道请求方法和 URL，但不知道目标 Controller 或其装饰器。
  • - 无法读取或写入自定义错误对象，只能手动构造 JSON 响应。
  • - 无法精准测量耗时仅能在 finish 时粗略估算。
  • - 无法获取控制器返回值；只能监听 statusCode。
  • - 要想记录日志，需要 monkey patch Express internals —— 非常 y。
    • * 痛点：代码膨胀且易失效。
• ✅ GUARD：
  • - 在 NestJS 层运行，可读取控制器类、方法还有装饰器元数据。
  • - 可通过 throw 新建 NestJS 异常。例如 throw new UnauthorizedException，框架会统一格式化错误响应。
  • - 可以直接将解码后的 token 放到 request.user 上供后续使用。
• ✅ INTERCEPTOR：
  • - 在执行前后都有钩子，可以精准计算耗时；可捕获异常并查看堆栈信息。
  • - 完全掌握控制器返回的数据流；可以做统一日志、结果包装等工作。

---

MIDDLEWARE 鉴权实例

@Injectable export class AuthMiddleware implements NestMiddleware { use{ // 如何知道哪些路由需要登录？只能硬编码，if||req.url.startsWith){…} &0x20} }

---

DYNAMIC GUARD 示例

---

# 日志到底该放在哪儿？MIDDLEWARE VS INTERCEPTOR？

MIDDLEWARE 做日志有两个根本缺陷：

• A) Express 的 res 对象在 finish 后已把 body 发出去了你拿不到真正的返回体，只能得到状态码。
  • * 痛点：业务日志往往需要完整结果才能满足监控与排查需求。
• B) 若要拦截 body，需要 monkey patch Express internals 或 JSON.parse 拦截 —— 非常脆弱且不推荐。
  • * 痛点：任何微小升级都可能导致日志失效或项目崩溃。

---

# INTERCEPTOR 天然能拿到完整信息示例代码：

---

# 推荐场景：仅当你真的需要 CORS、body-parser 等底层功能才使用 MIDDLEWARE。其它地方请遵循“MIDDLEWARE 是基础设施层”，而“GUARD 用于鉴权”，“INTERCEPTOR 用于日志/结果包装”。

---

登录鉴权的正确做法

--> ` ` ` `

User实体加 password 字段+ UserService 加 hash逻辑。**主要思路**： ts // 在 UserService.create 内部： const hashed = await bcrypt.hash;return this.userRepository.save;

---

Auth 模块骨架

ts @Module({ imports:,providers: }) export class AuthModule {}

---

测试案例概览

依赖清单：
npm install @nestjs/jwt @nestjs/passport passport passport-jwt bcryptjs
npm install -D @types/bcryptjs @types/passport-jwt

有 token 请求 @UseGuards 下非@Public正常访问，可通过 request.user 获取使用者信息。 ---> 此处可继续 其它测试场景以覆盖更细粒度业务需求。按理说，

---

RA娱乐 权限实现细节

步骤一——将角色信息写入 JWT

ts // 登录时查询 role 并写入 payload const payload = { 从sub来看。user.id,role:user.role?.name，?'unknown',}，const token = jwtService.sign;return {token};

步骤二——创建 @Roles 装饰器 与 RolesGuard

ts // decorators/roles.decorator.ts import { SetMetadata } from '@nestjs/common';export const ROLES_KEY = 'roles';export const Roles = => SetMetadata;ts // guards/roles.guard.ts @Injectable export class RolesGuard implements CanActivate{ constructor{} canActivate{ const requiredRoles=this.reflector.get(ROLES_KEY,context.getClass)||;const req=context.switchToHttp.getRequest;说起来，const user=req.user;不过，return requiredRoles.includes;} }

步骤三——在模块导出 guard 并应用

ts @Module({ exports: }) export class AuthModule {} ts // RoleController 示例： @UseGuards @Controller export class RoleController{ // 所有人可读 @Get findAll{…} // admin 可写删改 @Roles @Delete remove{…} }

---

RBAC 测试矩阵摘要表格

测试场景	说明
无 token 请求 @UseGuards 下非 @Public	期望 Forbidden 或 Unauthorized 异常返回。
无 token 请求 @UseGuards 下@Public	正常访问，无需 token。

#操作者	User ID
1Admin 使用者 login 成功后拥有 role='admin';	–	–	–	–	– 数据权限 + 功能权限双重模型简述图表 主要防护代码片段 ts private assertOwnOrAdmin(targetId:number。currentUser:{ 从sub来看，number,name:string,role:string}){ if{ throw new ForbiddenException( `无权操作 User #${targetId}`);} } 至于*原因说明*。 将此检查放在 Service 层是最终一道防线，任何调用都无法绕过。 调用链全流程演示 与以后主要 功能权限 → 角色匹配 → Token 验证 → Controller → Service 数据校验 已经完成密码加密 → JWT 签发验证 → 全局异常统一处理 → 日志与格式化输出 → 完整 RBAC + 数据权限程序。 说到接下来可考虑， • Redis 黑名单实现强制下线； • 多租户隔离方案； • 动态授权规则数据库化并实时更新。