Как был реализован ролевой контроль доступа на бэкенде NestJS?

Типичная реализация RBAC в NestJS проверяет пользователя после аутентификации и сопоставляет его роли с требованиями защищённой операции.

Для собственного решения удобно хранить требования в metadata декоратора и читать их в Guard через Reflector. Проверка роли не заменяет проверку доступа к конкретному объекту или tenant. Фактическую реализацию проекта следует описывать отдельно: источник ролей, их обновление и поведение при отказе.

Источник: docs.nestjs.com.