如何在用户未认证时阻止Apollo Server解析器执行代码？

在使用Express Apollo Server时遇到以下问题：
创建的API包含部分无需认证的解析器，用户认证时一切正常，但未认证时会触发错误：

Error [ERR_HTTP_HEADERS_SENT]: Cannot set headers after they are sent to the client

问题根源：认证中间件已经发送了响应，但解析器函数仍继续执行，导致重复设置响应头报错。

相关代码片段：

const loginRequiredGql = (req, res, next) => {
  const nextWrapper = () => {};
  for (const middleware of auth.loginRequired) {
    middleware(req, res, nextWrapper);
  }
  // if the response is already sent then the useris not authenticated
  console.log(res.headersSent);
}

const resolvers = {
  Query: {
    hello: (root, args, { req, res }) => {
      return 'World';
    },

    auth_test: (root, args, { req, res }) => {
      loginRequiredGql(req, res);
      if (!res.headersSent) return "some code";

      // The problem is that this code will be executed even if the user is not logged in.
      // I want to stop the execution of the code if the user is not logged in.
      // I tried to use return, but it didn't work.
      console.log("============  ");
      // return ;
    },
  }
};

需求：用户未认证时阻止解析器后续代码执行，但直接用return无效，求解决方法。

1. 修正解析器的return逻辑 #

原代码的判断逻辑写反了，导致认证失败时无法提前终止执行。调整判断顺序，检测到响应已发送（认证失败）时直接return：

auth_test: (root, args, { req, res }) => {
  loginRequiredGql(req, res);
  if (res.headersSent) {
    return; // 认证失败，直接终止后续代码执行
  }

  // 仅认证通过时执行以下代码
  console.log("============  ");
  return "some code";
},

2. 重构认证函数，返回明确的认证状态 #

让loginRequiredGql直接返回布尔值表示认证结果，避免依赖res.headersSent的间接判断，逻辑更清晰：

const loginRequiredGql = (req, res) => {
  let isAuthenticated = true;
  for (const middleware of auth.loginRequired) {
    middleware(req, res, () => {});
    if (res.headersSent) {
      isAuthenticated = false;
      break; // 认证失败就停止执行后续中间件
    }
  }
  return isAuthenticated;
}

// 解析器中使用
auth_test: (root, args, { req, res }) => {
  const isAuthenticated = loginRequiredGql(req, res);
  if (!isAuthenticated) {
    return;
  }

  console.log("============  ");
  return "some code";
},

3. 改用Apollo Server官方推荐的认证方式（更优） #

Apollo Server建议在**上下文（context）**中统一处理认证，而非直接操作Express的res对象，从根源避免响应头重复发送问题：

• 第一步：在Apollo Server初始化时，在context中完成认证逻辑：

const server = new ApolloServer({
  typeDefs,
  resolvers,
  context: ({ req }) => {
    // 自定义认证逻辑，比如从请求头提取token验证
    const user = verifyAuthToken(req.headers.authorization); // 返回用户信息或null
    return { user };
  },
});

• 第二步：在需要认证的解析器中，直接检查上下文里的用户信息，不存在则抛出错误：

const { AuthenticationError } = require('apollo-server-express');

// 解析器
auth_test: (root, args, { user }) => {
  if (!user) {
    throw new AuthenticationError("用户未认证");
  }

  console.log("============  ");
  return "some code";
},

这种方式符合Apollo的设计规范，无需手动处理响应头，错误处理更统一。

内容的提问来源于stack exchange，提问作者B A.J Amar