feat: Add AdminGuard for role-based access control in UserController, restricting access to admin users

Author: letnull19A

src/auth/guards/admin.guard.ts

@@ -0,0 +1,24 @@
+import { ExecutionContext, Injectable, UnauthorizedException } from '@nestjs/common';
+import { CanActivate } from '@nestjs/common';
+import { UserRole } from '../../user/user.types';
+
+@Injectable()
+export class AdminGuard implements CanActivate {
+  canActivate(context: ExecutionContext): boolean {
+    const request = context.switchToHttp().getRequest();
+    const user = request.user;
+
+    // Если пользователь не найден, выбрасываем 401
+    if (!user) {
+      throw new UnauthorizedException('Не авторизован');
+    }
+
+    // Если пользователь не админ, выбрасываем 401
+    if (user.role !== UserRole.ADMIN) {
+      throw new UnauthorizedException('Доступ разрешен только администраторам');
+    }
+
+    return true;
+  }
+}
+

src/user/user.controller.ts

@@ -18,6 +18,7 @@ import { UpdateUserV2Dto, updateUserV2Schema, UpdateUserV2DtoClass } from './dto
 import { ChangePasswordDto, changePasswordSchema, ChangePasswordDtoClass } from './dto/change-password.dto';
 import { ZodValidation } from '../common/decorators/zod-validation.decorator';
 import { JwtAuthGuard } from '../auth/guards/jwt-auth.guard';
+import { AdminGuard } from '../auth/guards/admin.guard';
 import { CurrentUser } from '../auth/decorators/current-user.decorator';
 
 @ApiTags('Пользователи')
@@ -37,11 +38,11 @@ export class UserController {
   }
 
   @Get()
-  @UseGuards(JwtAuthGuard)
+  @UseGuards(JwtAuthGuard, AdminGuard)
   @ApiBearerAuth()
   @ApiOperation({ summary: 'Получить всех пользователей' })
   @ApiResponse({ status: 200, description: 'Список пользователей' })
-  @ApiResponse({ status: 401, description: 'Не авторизован' })
+  @ApiResponse({ status: 401, description: 'Не авторизован или недостаточно прав' })
   findAll() {
     return this.userService.findAll();
   }
@@ -63,12 +64,12 @@ export class UserController {
   }
 
   @Get(':id')
-  @UseGuards(JwtAuthGuard)
+  @UseGuards(JwtAuthGuard, AdminGuard)
   @ApiBearerAuth()
   @ApiOperation({ summary: 'Получить пользователя по ID' })
   @ApiResponse({ status: 200, description: 'Пользователь найден' })
   @ApiResponse({ status: 404, description: 'Пользователь не найден' })
-  @ApiResponse({ status: 401, description: 'Не авторизован' })
+  @ApiResponse({ status: 401, description: 'Не авторизован или недостаточно прав' })
   findOne(@Param('id', ParseIntPipe) id: number) {
     return this.userService.findOne(id);
   }
@@ -104,12 +105,12 @@ export class UserController {
   }
 
   @Delete(':id')
-  @UseGuards(JwtAuthGuard)
+  @UseGuards(JwtAuthGuard, AdminGuard)
   @ApiBearerAuth()
   @ApiOperation({ summary: 'Удалить пользователя' })
   @ApiResponse({ status: 200, description: 'Пользователь удален' })
   @ApiResponse({ status: 404, description: 'Пользователь не найден' })
-  @ApiResponse({ status: 401, description: 'Не авторизован' })
+  @ApiResponse({ status: 401, description: 'Не авторизован или недостаточно прав' })
   remove(@Param('id', ParseIntPipe) id: number) {
     return this.userService.remove(id);
   }