关于Hasura仅传入x-hasura-allowed-roles时的请求执行规则问询

核心问题答复 #

如果仅传入x-hasura-allowed-roles，省略x-hasura-role和x-hasura-default-role，Hasura会直接拒绝该请求。因为Hasura的权限体系要求必须明确指定一个具体的执行角色，它不会自动遍历x-hasura-allowed-roles数组中的所有角色逐一检查权限，也不会默认使用数组中的第一个角色。

背景逻辑说明 #

Hasura的x-hasura-allowed-roles只是用来限定当前用户可以切换的角色范围，它本身不能作为请求的执行角色标识。正常请求必须携带x-hasura-role（指定当前使用的角色）或x-hasura-default-role（未指定x-hasura-role时使用的默认角色），同时搭配x-hasura-allowed-roles确保指定的角色在允许范围内。

满足"任一允许角色有权限即执行"需求的方案 #

如果需要实现"只要x-hasura-allowed-roles中任一角色具备权限，请求就能执行"的逻辑，Hasura本身没有原生支持，可通过以下方式实现：

• 认证环节前置判断：在JWT生成或webhook认证逻辑中，提前检查用户所有允许的角色对目标操作的权限，将第一个符合权限要求的角色设置为x-hasura-role传入Hasura。
• 统一权限规则配置：将需要共享的权限逻辑抽象为通用规则（比如利用Hasura的权限变量），给x-hasura-allowed-roles中的所有角色配置相同的权限规则，这样无论指定哪个允许的角色，请求都能通过权限检查。

内容的提问来源于stack exchange，提问作者Shubham Singh