NestJS: protegendo rotas com Guards

Por que proteger as rotas é tão importante?

Quer conhecer mais sobre o NestJS?

📽️

Se você ainda não conhece o NestJS ou quer se aprofundar um pouco mais no framework, recomendo dar uma olhada nesse vídeo:

O que são Guards no NestJS?

Guards vs. Middleware

Criando um AuthGuard no NestJS

Configurando a estratégia JWT

import { Injectable } from '@nestjs/common';
import { PassportStrategy } from '@nestjs/passport';
import { Strategy, ExtractJwt } from 'passport-jwt';

@Injectable()
export class JwtStrategy extends PassportStrategy(Strategy) {
  constructor() {
    super({
    jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
      secretOrKey: /* sua chave privada */,
      algorithms: ['RS256'],
    });
  }

  async validate(payload: any) {
    // validação do token
    return { userId: payload.sub };
  }
}

Aqui, estamos definindo de onde o token será extraído (normalmente do header Authorization), qual é a chave privada para validar o token e qual algoritmo estamos usando. No método validate, podemos verificar se o token possui as informações que esperamos.

Registrando a estratégia no módulo

import { JwtStrategy } from './jwt-strategy';

@Module({
  providers: [JwtStrategy],
})
export class AppModule {}

Criando o AuthGuard

import { Injectable } from '@nestjs/common';
import { AuthGuard } from '@nestjs/passport';

@Injectable()
export class JwtAuthGuard extends AuthGuard('jwt') {}

Aqui, estamos estendendo o AuthGuard do Passport e especificando que vamos usar a estratégia 'jwt' que criamos.

Protegendo uma rota com o Guard

import { Controller, Post, UseGuards } from '@nestjs/common';
import { JwtAuthGuard } from './jwt-auth.guard';

@Controller('questions')
export class QuestionsController {
  @Post()
  @UseGuards(JwtAuthGuard)
  createQuestion() {
    // lógica para criar uma pergunta
    return { message: 'Pergunta criada com sucesso!' };
  }
}

Com o decorador @UseGuards(JwtAuthGuard), estamos protegendo a rota createQuestion. Agora, se alguém tentar acessá-la sem um token válido, receberá um erro 401 Unauthorized.

Testando nossa rota protegida

1. Primeiro, faça uma requisição de login para obter o token JWT.

2. Depois, tente acessar a rota protegida sem o token e veja que receberá um erro de autorização.

3. Por fim, inclua o token no header Authorization: Bearer seu_token_aqui e tente novamente. Agora, a requisição deve ser bem-sucedida.

Dica para facilitar os testes

Validando o payload do token

import { z } from 'zod';

async validate(payload: any) {
  const tokenSchema = z.object({
    sub: z.string().uuid(),
  });

  return tokenSchema.parse(payload);
}

Se o token não tiver o sub (que é o ID do usuário), a validação falhará e o acesso será negado.

Entendendo melhor o que acontece nos bastidores

E se quisermos proteger todas as rotas de um Controller?

@UseGuards(JwtAuthGuard)
@Controller('questions')
export class QuestionsController {
  // todas as rotas aqui estarão protegidas
}

Dessa forma, todas as rotas dentro desse controlador exigirão autenticação.

Conclusão