标签：策略权限

16 NestJS 企业级 RBAC 权限控制体系

前言权限控制是企业级应用中最容易"看起来做了，实则一捅就破"的模块。常见的伪 RBAC 实现往往是在 Controller 里直接判断 user.role === 'admin'，把角色硬编码散落在各处，后期维护极其痛苦。本文将从架构设计出发，基于 NestJS + Prisma + Redis + CASL 构建一套真正可扩展的 RBAC 体系，覆盖以下核心问题：纯角色判断为何不够？如何建模"资源:动作"级别的原子权限？NestJS 的守卫管道中，认证与授权如何职能分离？每次请求都查数据库权限太慢，如何用 Redis 将查询压缩到毫秒级？用户拥有 article:d...