16 NestJS 企业级 RBAC 权限控制体系

前言

权限控制是企业级应用中最容易"看起来做了，实则一捅就破"的模块。常见的伪 RBAC 实现往往是在 Controller 里直接判断 user.role === 'admin'，把角色硬编码散落在各处，后期维护极其痛苦。

本文将从架构设计出发，基于 NestJS + Prisma + Redis + CASL 构建一套真正可扩展的 RBAC 体系，覆盖以下核心问题：

• 纯角色判断为何不够？如何建模"资源:动作"级别的原子权限？
• NestJS 的守卫管道中，认证与授权如何职能分离？
• 每次请求都查数据库权限太慢，如何用 Redis 将查询压缩到毫秒级？
• 用户拥有 article:delete 权限，如何限制只能删自己的文章？

阅读本文需要具备 NestJS 模块化开发经验，熟悉 Prisma 基本用法和 JWT 认证流程。建议先阅读本系列的 《10 NestJS JWT 身份验证完全指南》 和 《12 NestJS 集成 Prisma ORM 完全指南》。