🔐 06. 인증 처리 — 당신은 누구고, 어디까지 들어갈 수 있는가?

import { Injectable } from '@nestjs/common';
import { PassportStrategy } from '@nestjs/passport';
import { ExtractJwt, Strategy } from 'passport-jwt';
import { passportJwtSecret } from 'jwks-rsa'; // Supabase 공개키를 가져오기 위한 마법 지팡이
 
@Injectable()
export class SupabaseJwtStrategy extends PassportStrategy(Strategy) {
  constructor(configService: ConfigService) {
    const supabaseUrl = configService.getOrThrow('SUPABASE_URL');
    
    super({
      // "요청을 보낼 때 머리(Header)에 Bearer 라고 적힌 곳에서 토큰을 꺼내세요"
      jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
      ignoreExpiration: false, // 만료된 토큰은 가차없이 컷!
      
      // "Supabase 본사에 연락해서, 이 토큰이 진짜 서명된 게 맞는지 인증키를 받아오세요"
      secretOrKeyProvider: passportJwtSecret({
        cache: true,
        jwksUri: `${supabaseUrl}/auth/v1/.well-known/jwks.json`,
      }),
      algorithms: ['RS256'], // Supabase가 쓰는 암호화 방식
    });
  }
 
  // 🚨 JWT 홀로그램 검사가 통과되면 마지막으로 이 함수가 실행돼!
  async validate(payload: any) {
    // 여기서 리턴하는 객체가 바로 컨트롤러에서 쓸 수 있는 '유저 정보'가 돼.
    return {
      id: payload.sub,
      email: payload.email,
      role: payload.app_metadata?.provider || 'user',
    };
  }
}

// auth/guards/jwt-auth.guard.ts
import { Injectable, UnauthorizedException } from '@nestjs/common';
import { AuthGuard } from '@nestjs/passport';
 
@Injectable()
export class JwtAuthGuard extends AuthGuard('supabase-jwt') {
  // 에러 발생 시 커스텀 메시지를 띄우고 싶다면 요 함수를 오버라이딩해!
  handleRequest(err: any, user: any, info: any) {
    if (err || !user) {
      throw err || new UnauthorizedException('사원증(로그인)이 필요합니다!');
    }
    return user; // 👈 validate()에서 리턴했던 바로 그 객체
  }
}

// app.module.ts
@Module({
  providers: [
    {
      provide: APP_GUARD,
      useClass: JwtAuthGuard, // 이렇게 하면 단 1줄로 내 앱의 모든 API가 로그인 필수가 됨!
    },
  ],
})
export class AppModule {}

// decorators/public.decorator.ts
import { SetMetadata } from '@nestjs/common';
 
// 'isPublic' 이라는 라벨에 true라는 값을 찍어내는 스티커를 만들었음!
export const IS_PUBLIC_KEY = 'isPublic';
export const Public = () => SetMetadata(IS_PUBLIC_KEY, true);

// auth/guards/jwt-auth.guard.ts
import { Reflector } from '@nestjs/core'; // 스티커 판별기
 
@Injectable()
export class JwtAuthGuard extends AuthGuard('supabase-jwt') {
  constructor(private reflector: Reflector) { super(); }
 
  canActivate(context: ExecutionContext) {
    // 1. 방금 요청이 들어온 라우터에 'isPublic' 스티커가 붙어있는지 확인!
    const isPublic = this.reflector.getAllAndOverride<boolean>(IS_PUBLIC_KEY, [
      context.getHandler(),
      context.getClass(),
    ]);
    
    // 2. 스티커가 있으면 신분증 검사(JWT 검사) 스킵 후 통과!
    if (isPublic) return true;
    
    // 3. 스티커가 없으면 얄짤없이 원래 하던 신분증 검사 진행
    return super.canActivate(context);
  }
}

@Get('health')
@Public() // 👈 로그인 안해도 접속 가능!
checkHealth() { return 'OK'; }

// decorators/current-user.decorator.ts
import { createParamDecorator, ExecutionContext } from '@nestjs/common';
 
export const CurrentUser = createParamDecorator(
  (data: unknown, ctx: ExecutionContext) => {
    const request = ctx.switchToHttp().getRequest();
    // 신분증 검사를 통과하며 저장된 유저 정보를 돌려줌
    return request.user; 
  },
);
 
// ------------ 사용 씬 ------------
@Get('my-profile')
// 👈 깔ㅡ끔
getProfile(@CurrentUser() user: { id: string; email: string }) { 
  return this.usersService.findOne(user.id);
}

export const ROLES_KEY = 'roles';
// 괄호 안에 적은 문자열들('admin', 'user')을 통째로 배열로 저장!
export const Roles = (...roles: string[]) => SetMetadata(ROLES_KEY, roles);

@Injectable()
export class RolesGuard implements CanActivate {
  constructor(private reflector: Reflector) {}
 
  canActivate(context: ExecutionContext): boolean {
    // 1. 이 컨트롤러에 들어오기 위해 필요한 권한 스티커 목록을 가져와
    const requiredRoles = this.reflector.getAllAndOverride<string[]>(ROLES_KEY, [
        context.getHandler(),
        context.getClass(),
    ]);
    
    // 2. 아무 권한 스티커 안 붙어있으면 통과 (Public 같은 곳)
    if (!requiredRoles) return true;
    
    // 3. 유저의 신분증에서 직급(role)을 꺼내
    const { user } = context.switchToHttp().getRequest();
    
    // 4. 유저 권한이 필요한 권한 배열에 속해있는지 검사!
    return requiredRoles.includes(user.role);
  }
}

// app.module.ts (경비원은 1번 가드부터 순차적으로 검사해)
providers: [
  { provide: APP_GUARD, useClass: JwtAuthGuard }, // 1. 너 로그인 했어?
  { provide: APP_GUARD, useClass: RolesGuard },   // 2. 너 관리자 직급 맞아?
]
 
// 컨트롤러
@Delete(':id')
@Roles('admin') // 👈 관리자만 삭제 가능
remove(@Param('id') id: string) { ... }

// src/types/express.d.ts (파일을 새로 하나 만들어)
declare namespace Express {
  export interface Request {
    user?: User; // 네가 프로젝트에서 쓰는 User 타입을 꽂아넣으면 돼!
  }
}

@Injectable()
export class OptionalJwtAuthGuard extends AuthGuard('supabase-jwt') {
  handleRequest(err: any, user: any) {
    // 에러를 내뿜지 않고 그냥 null 리턴
    return user || null; 
  }
}

{ "statusCode": 401, "message": "Unauthorized" }

@Get('my-data')
// (앗, 뭔가 빠졌다..!)
getMyData(@CurrentUser() user: any) {
  return this.service.getData(user.id);
}