GraphQL 中如何处理无权限请求?

在 GraphQL 应用程序开发过程中,我们经常会遇到需要对请求进行权限控制的情况。比如,某些查询或者修改操作需要特定的用户权限才能进行,而其他用户则不能执行。在这些场景下,我们需要能够识别用户的身份,并在必要时阻止他们发起无权限请求。本文将介绍在 GraphQL 中如何识别用户身份、控制权限,以及如何处理无权限请求。

识别用户身份

在 GraphQL 应用程序中,我们可以通过某些方式来识别用户身份,例如:

  • 通过 HTTP 请求头中的认证令牌(例如 Authorization 头)来进行认证。
  • 在每个 GraphQL 查询的参数中加入用户 ID(例如 userID 参数)。

这里以 HTTP 请求头方式来说明。当客户端发送 GraphQL 请求时,我们需要从请求头中获取认证令牌,并将其加入到 GraphQL 上下文中,以便后续的解析器和查询处理器能够使用它。示例代码如下所示:

----- - ------------ - - -------------------------
----- - --------------- - - ------------------------------
----- - --------- - - -------------------

----- -------- - -
  ---- ----- -
    ----- ----
  -

  ---- ---- -
    --- ---
    ------ -------
  -
--

----- --------- - -
  ------ -
    ----- -------- ----- -------- -- -
      ----- ------ - ---------------
      -- ---- -- ------------
    --
  --
--

----- ------ - --- --------------
  ---------
  ----------
  -------- -- --- -- -- --
    ------- ---------------
  ---
---

----------------------- --- -- -- -
  ------------------- ----- -- ---------
---

在示例代码中,getUserId 函数可以根据请求头中的认证令牌获取用户 ID。如果无法识别用户身份,则认为没有权限请求。

控制权限

在识别了用户身份之后,我们需要对用户请求的操作进行权限控制。在 GraphQL 中,我们可以定义字段级别或者类型级别的权限控制。在这里,我们以字段级别的权限控制为例。

假设我们只有管理员才能够查询用户的具体信息(例如电子邮件地址)。我们可以在查询的类型定义中将 email 字段定义为只有管理员可以访问:

----- - ------------- --- - - -------------------------
----- - --------------- - - ------------------------------
----- - --------- - - -------------------

----- -------- - ----
  ---- ----- -
    ----- ----
  -

  ---- ---- -
    --- ---
    ------ ------- ------------ --------
  -
--

----- --------- - -
  ------ -
    ----- -------- ----- -------- -- -
      ----- ------ - ---------------
      -- ---- -- ------------
    --
  --
  ----- -
    ------ -------- ----- -------- -- -
      ----- ----- - --------------
      -- -------------------------- -
        ----- --- ---------- -------------
      -
      ------ -------------
    --
  --
--

----- ----------- - -
  ----- -
    ------ -- ----- ------- -- -- -
      ----- ----- - --------------
      -- -------------------------- -
        ----- --- ---------- -------------
      -
    --
  --
--

----- ------ - --- --------------
  ---------
  ----------
  -------- -- --- -- -- -
    ----- ------ - ---------------
    ----- ---- - --------------------
    ------ -
      ------- --------
      ------ -----------
    --
  --
---

----------------------- --- -- -- -
  ------------------- ----- -- ---------
---

在示例代码中,我们定义了一个 @auth 指令,只有指定的角色才能访问该字段。在每个查询解析器中,我们根据用户的角色信息进行访问控制,如果用户没有相应的角色,则抛出错误,拒绝请求。

同时,我们还可以定义类型级别的权限控制,以对某个类型下的所有字段进行统一限制。这里不再赘述,有兴趣的读者可以参考 GraphQL 官方文档。

处理无权限请求

当用户发起无权限请求时,我们需要对这些请求进行合适的处理。常见的处理方式包括:

  • 抛出错误:在每个解析器中抛出错误,返回错误信息给客户端。
  • 隐藏字段:在查询结果中屏蔽掉无权限访问的字段,只返回有权访问的字段。
  • 改变响应:例如在查询结果中做一些替换或者空值处理。

其中,抛出错误是最常见的处理方式,也是最保险的方式。我们可以在每个解析器中进行验证,抛出相应的错误信息给客户端。示例代码如下所示:

----- --------- - -
  ------ -
    ----- -------- ----- -------- -- -
      ----- ------ - ---------------
      ----- ----- - --------------
      ----- ---- - ---------------------
      -- -------- --- ------ -- ------------------------- -
        ----- --- ---------- -------------
      -
      ------ -----
    --
  --
--

在示例代码中,如果查询的用户 ID 不是当前用户 ID,并且当前用户也不是管理员,则抛出 Not authorized 错误,拒绝请求。客户端可以根据错误信息做相应的处理,例如提示用户重新登录,或者提醒用户其没有相应的权限。

结论

在 GraphQL 应用程序中,我们需要对用户身份进行验证,并进行权限控制。通过字段级别或者类型级别的授权定义,我们可以限制用户访问某些特定字段或者类型。当用户发起无权限请求时,我们可以选择抛出错误、隐藏字段或者改变响应等合适的处理方式。控制好用户访问权限,可以保证应用程序的安全性和稳定性。

参考

来源:JavaScript中文网 ,转载请注明来源 本文地址:https://www.javascriptcn.com/post/67213b922e7021665e06c534