如何在NestJS GraphQL中实现字段级权限控制？

要实现未授权时仅password字段报错、其余字段正常返回的效果，需要自定义字段级的异常过滤器来调整NestJS默认的异常处理逻辑，具体步骤如下：

1. 自定义字段级异常过滤器 #

创建一个专门捕获UnauthorizedException的过滤器，将错误关联到当前字段路径，而非中断整个请求的data返回：

import { Catch, ExceptionFilter, ArgumentsHost } from '@nestjs/common';
import { UnauthorizedException } from '@nestjs/common';
import { GqlArgumentsHost } from '@nestjs/graphql';

@Catch(UnauthorizedException)
export class GqlFieldUnauthorizedFilter implements ExceptionFilter {
  catch(exception: UnauthorizedException, host: ArgumentsHost) {
    const gqlHost = GqlArgumentsHost.create(host);
    const ctx = gqlHost.getContext();
    const fieldPath = gqlHost.getInfo().path;

    // 将错误添加到GraphQL的errors数组
    ctx.errors = ctx.errors || [];
    ctx.errors.push({
      message: exception.message,
      path: fieldPath,
      extensions: {
        code: 'UNAUTHORIZED',
      },
    });

    // 返回undefined，让GraphQL忽略该字段的返回值
    return undefined;
  }
}

2. 在字段解析器上应用过滤器 #

修改你的password字段解析器，添加自定义过滤器：

@UseGuards(UserGuard)
@UseFilters(GqlFieldUnauthorizedFilter)
@ResolveField(() => String)
async password(@Parent() user: User): Promise<string> {
  return user.password;
}

原理说明 #

NestJS默认的GraphQL异常处理逻辑中，字段解析器抛出异常会导致整个data对象置为null。通过自定义过滤器，我们捕获授权异常后，手动将错误信息写入GraphQL上下文的errors数组，同时返回undefined让GraphQL跳过该字段的返回，从而保留其他正常解析的字段数据。

这种行为完全符合GraphQL规范，不仅不是不被推荐的做法，反而能提升API的可用性——请求者可以正常获取有权限的字段数据，同时明确知晓哪个字段因权限不足无法访问。

内容的提问来源于stack exchange，提问作者mrbluellama