22. 認可とロール — RBAC

// RBAC のロール判定ロジックをプレーンTSで再現
// ガードが @Roles(...) の要求ロールと、ログインユーザーのロールを突き合わせる
type Role = "admin" | "editor" | "viewer";
type CurrentUser = { id: string; roles: Role[] };

// ハンドラが要求するロール(@Roles("admin") 相当のメタデータ)
type RouteMeta = { requiredRoles: Role[] };

// ガードの本質: 要求ロールのどれか1つでも持っていれば通過
function canActivate(user: CurrentUser, meta: RouteMeta): boolean {
  if (meta.requiredRoles.length === 0) return true; // 制限なしは全員許可
  return meta.requiredRoles.some((required) => user.roles.includes(required));
}

const admin: CurrentUser = { id: "u1", roles: ["admin"] };
const viewer: CurrentUser = { id: "u2", roles: ["viewer"] };

const deleteRoute: RouteMeta = { requiredRoles: ["admin"] };
const readRoute: RouteMeta = { requiredRoles: ["admin", "editor", "viewer"] };

console.log("admin が削除を実行: " + canActivate(admin, deleteRoute));
console.log("viewer が削除を実行: " + canActivate(viewer, deleteRoute));
console.log("viewer が閲覧を実行: " + canActivate(viewer, readRoute));

// 拒否されたら NestJS は 403 Forbidden を返す
if (!canActivate(viewer, deleteRoute)) {
  console.log("403 Forbidden: 権限が不足しています");
}