GraphQL 是一种新型的 API 查询语言，它可以帮助我们更好地管理和组织数据。在使用 GraphQL 进行开发时，我们常常需要考虑安全性问题，包括身份验证（Authentication）和授权（Authorization）。本文将介绍如何在 GraphQL 中使用身份验证和授权，以及如何保护我们的 API。
什么是身份验证和授权？
身份验证是指确认用户的身份，确保他们有权访问我们的 API。常见的身份验证方式包括使用用户名和密码、OAuth2、JWT 等方式。
授权是指根据用户的角色或权限，决定他们可以访问哪些资源或进行哪些操作。例如，我们可能只允许管理员访问某些敏感数据，而普通用户只能访问公开数据。
在 GraphQL 中使用身份验证和授权
身份验证
在 GraphQL 中，我们可以使用中间件来实现身份验证。中间件是一种在查询执行前或后执行的函数。我们可以使用中间件来验证用户的身份，并决定是否允许他们访问查询。
以下是一个使用 JWT 进行身份验证的示例：
-- -------------------- ---- -------
----- --- - ------------------------
----- - ------------ - - -------------------------
----- -------- - --------------------
----- --------- - -----------------------
----- ------ - --- --------------
---------
----------
-------- -- --- -- -- -
----- ----- - ------------------------- -- ---
--- -
----- ---- - ----------------- ------------------------
------ - ---- --
- ----- ----- -
------ ---
-
--
---
----------------------- --- -- -- -
--------------- ------ ----- -- ---------
---在上面的代码中，我们使用 Apollo Server 来创建一个 GraphQL API。我们使用 context 参数来传递上下文信息，包括当前用户的信息。在 context 中，我们获取请求头中的 authorization 字段，将其解码为用户信息，并将其传递给查询执行过程中的所有解析器。
授权
在 GraphQL 中，我们可以使用自定义指令来实现授权。指令是一种用于修改查询执行的元数据的语法结构。我们可以使用自定义指令来限制用户访问特定的字段或类型。
以下是一个使用自定义指令进行授权的示例：
-- -------------------- ---- ------- ---- ----- - -------------- ------ --------------- ------ - --------- --------------- ------ -- ---------------- ---- ---- - ----- ---- - ---- ---- - --- --- ----- ------- ----- ----- -
在上面的代码中，我们在 sensitiveData 字段上添加了一个 @auth 指令。该指令需要一个 requires 参数，该参数表示需要的用户角色。在查询执行过程中，我们可以使用该指令来检查当前用户的角色是否满足要求。
以下是一个使用自定义指令进行授权的解析器示例：
-- -------------------- ---- -------
----- --------- - -
------ -
-------------- -------- ----- -------- -- -
-- ------------------ --- -------- -
----- --- ----------------------
-
------ ---------- ------
--
--
--在上面的代码中，我们在 sensitiveData 字段的解析器中检查当前用户的角色是否满足要求。如果用户角色不是 ADMIN，则抛出一个 Unauthorized 错误。
结论
在 GraphQL 中使用身份验证和授权可以帮助我们保护我们的 API，防止未经授权的访问和数据泄露。我们可以使用中间件来实现身份验证，使用自定义指令来实现授权。需要注意的是，身份验证和授权应该是一个综合性的安全方案，需要根据具体情况进行设计和实现。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67457f93c1a23897ea9b1caf