GraphQL 是一种用于 API 的查询语言和运行时环境，它可以让客户端精确地指定需要的数据，而不是像 REST API 那样返回固定的数据结构。GraphQL 的出现，极大地提高了前端开发的效率和灵活性。然而，由于 GraphQL API 可以暴露大量敏感数据，因此在使用 GraphQL API 时需要考虑身份验证和授权的问题。
身份验证
身份验证是指验证用户是谁的过程，常见的身份验证方式有基本身份验证、令牌身份验证和 OAuth2 身份验证。在 GraphQL 中，我们可以使用 Express、Koa、Hapi 等后端框架来实现身份验证。
基本身份验证
基本身份验证是通过在 HTTP 头部中添加 Authorization 字段并使用 Base64 编码的用户名和密码来验证身份。在 Express 中，可以使用 express-basic-auth 中间件来实现基本身份验证。
const express = require('express');
const basicAuth = require('express-basic-auth');
const app = express();
app.use(basicAuth({
users: { 'admin': 'password' },
challenge: true
}));令牌身份验证
令牌身份验证是通过在 HTTP 头部中添加 Authorization 字段并使用令牌来验证身份。在 GraphQL 中，我们可以使用 JSON Web Token (JWT) 来实现令牌身份验证。JWT 是一个开放标准，它定义了一种紧凑且自包含的方式，用于在各方之间作为 JSON 对象安全地传输信息。
在 Express 中，可以使用 jsonwebtoken 模块来生成和验证 JWT 令牌。
-- -------------------- ---- -------
----- ------- - -------------------
----- --- - ------------------------
----- --- - ----------
------------------ ----- ---- -- -
-- ------
----- ---- - - --- -- ----- ------- --
----- ----- - ---------- ---- -- -------------
---------- ----- ---
---
--------------------- ------------ ----- ---- -- -
--------------------- ------------ ----- --------- -- -
-- ----- -
--------------------
- ---- -
----------
-------- ---------- ------
--------
---
-
---
---
-------- ---------------- ---- ----- -
----- ------------ - -----------------------------
-- ------- ------------ --- ------------ -
----- ----------- - -------------------- ------
--------- - ------------
-------
- ---- -
--------------------
-
-OAuth2 身份验证
OAuth2 身份验证是一种授权框架，它允许客户端应用程序在用户授权的情况下访问受保护的资源。在 GraphQL 中，我们可以使用 passport 和 passport-oauth2 模块来实现 OAuth2 身份验证。
-- -------------------- ---- -------
----- ------- - -------------------
----- -------- - --------------------
----- -------------- - ------------------------------------
----- --- - ----------
---------------- ----------------
----------------- ---------------------------------------
--------- -----------------------------------
--------- ------------
------------- ----------------
------------ ---------------------------------------------
-- ------------- ------------- -------- ----- -- -
-- ---------
---------- ---------
----
------------------------ ---------------------------------
--------------------------------- ------------------------------- -
---------------- --------
--- ----- ---- -- -
------------------
---授权
授权是指确定已验证用户是否有权访问某个资源的过程。在 GraphQL 中，我们可以使用 graphql-shield 模块来实现授权。
-- -------------------- ---- -------
----- - ----- ------ - - --------------------------
----- --------------- - ------ ------ ------------ ---
----- -------- ----- ---- ----- -- -
------ -------- --- -----
-
--
----- ----------- - --------
------ -
---- ---------------
--
--------- -
---- ---------------
-
---
----- ------ - --- --------------
---------
----------
-------- -- --- -- -- -
----- ----- - ------------------------- -- ---
----- ---- - ------------------------
------ - ---- --
--
-------- -------------
---在上面的例子中，我们定义了一个 isAuthenticated 规则，用于检查用户是否已经验证。然后，我们使用 shield 函数将这个规则应用到所有的查询和变更操作上。
总结
在使用 GraphQL API 时，身份验证和授权是非常重要的。我们可以使用不同的身份验证方式来验证用户身份，例如基本身份验证、令牌身份验证和 OAuth2 身份验证。我们也可以使用 graphql-shield 模块来实现授权，以确保已验证用户只能访问它们有权访问的资源。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6611f998d10417a22228b7a7