GraphQL 是一种新颖的 API 查询语言，其强大之处在于它可以减少客户端与服务器端之间的沟通，使得数据的请求更加高效。而随着 GraphQL 的普及，越来越多的企业开始使用它来构建 Web 应用程序。然而，当涉及到保护应用程序中敏感数据的时候，GraphQL 没有像传统 RESTful API 那样提供一套简单而直接的权限控制解决方案。因此，本文将介绍 GraphQL 中实现权限控制的最佳实践，以保障应用程序中敏感数据的安全性。
1. 在 GraphQL 中强制实施权限控制
GraphQL 允许客户端通过查询语句定义所需的数据和与服务器通信的方式。但是出于安全考虑，我们需要控制可以获取的数据以及如何获取它们。因此，我们必须定义一种限制安全性的方法。
1.1 确定数据访问级别
在 GraphQL 中，我们可以使用枚举、标量以及输入类型等类型系统来定义操作类型和访问级别。我们可以使用以下操作类型来确定数据的访问级别：
- 查询操作类型：这是从服务器获取数据的操作类型。我们可以使用查询操作类型来代表可以公开访问的数据。
- 变更操作类型：这是更改服务器端数据的操作类型。我们可以使用变更操作类型来代表需要身份验证才能进行的数据操作。
1.2 使用 Schema Directive
Schema Directive 是 GraphQL 用于通过添加标注来处理请求的功能。使用 Schema Directive，我们可以根据 GraphQL 查询和操作类型来处理请求。我们可以根据客户端的角色和访问级别，将 Schema Directive 添加到 GraphQL 操作类型中来限制数据访问。例如，在下面的 GraphQL Schema 中，我们使用 @auth 指令将查询操作类型限制为只有经过身份验证的用户才能访问。
type Query {
user: User @auth
}1.3 在解析器函数中添加逻辑
我们可以在解析器函数中添加逻辑来实现权限控制。解析器函数是用于查询操作类型和变更操作类型的查询执行过程中的函数。通过在解析器函数中添加逻辑，我们可以控制其产生的输出以及对数据源的访问。
在下面的示例中，我们可以在解析器函数中检查授权令牌，然后在检查通过后返回查询结果。如果未通过，则返回符合标准的 GraphQL 错误。
-- -------------------- ---- -------
----- --------- - -
------ -
----- ----- --- --- - ------------- -- -- -
-- ---------------- -
----- --- ----------------------
-
----- ---- - ----- ------------------------------
------ -----
--
--
--2. 将权限控制嵌入到 GraphQL 应用程序中
在了解了如何在 GraphQL 中实现权限控制后，我们需要将其嵌入到应用程序中。有几种方法可以实现这一点，其中最常见的是使用中间件。
2.1 使用中间件
中间件是连接请求和响应的代码段，用于修改请求和响应对象、执行其他操作或响应请求。在 GraphQL 架构中，中间件负责进行访问控制、消息验证和使用授权令牌逻辑检查等操作。例如，下面的示例演示了在解析 GraphQL 查询之前，使用中间件来复制身份验证令牌。
-- -------------------- ---- -------
----- ------ - --- --------------
---------
----------
-------- -- --- -- -- --
-------------- --------------------------
---
-------- -------------------
---
-------- ---------------- -
------ -
------------------------------- -
------ -
-------------------------------- -
----- - --------- ------- - - ---------------
-- ----------------------- -
--------------------------
----------------
---------------------
--
-
--
--
--
--
-2.2 在 GraphQL 网关中使用权限控制
许多企业使用 GraphQL 网关来提供访问多个 GraphQL 微服务的单一入口。在 GraphQL 网关中，我们可以使用中间件来实现全局权限控制，这样我们就可以只采用一个代码库，它就可以为多个 GraphQL 微服务提供统一的安全性。
结论
本文详细阐述了在 GraphQL 中实现权限控制的最佳实践，我们通过使用 Schema Directive 和中间件等方法，将安全实践嵌入到 GraphQL 应用程序中。通过这些方法，我们可以保证 Web 应用程序中的敏感数据的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66fc275144713626016948ec