禁用Introspection时，Strapi+GraphQL+Nuxt3工作流设计方案咨询

问题背景 #

我已在DigitalOcean上成功部署Strapi CMS+GraphQL+Nuxt3前端，连接正常且API运行流畅。但开发过程中，Nuxt3会通过nuxt prepare依赖GraphQL自省（Introspection）读取Schema，而Strapi生产环境默认禁用该功能。

我尝试按官方文档配置./config/plugins.ts：

export default () => ({
  graphql: {
    enabled: true,
    config: {
      playgroundAlways: true,
      apolloServer: {
        introspection: true,
      },
    },
  },
});

同时试过硬编码及通过环境变量配置，文件可被正常读取，但自省仍被禁止；也尝试将配置文件放在./config/env/production/plugins.ts，同样无效。

测试命令：

curl -X POST -H "Content-Type: application/json" --data '{ "query": "{ __schema { types { name } } }" }' MY_API_URL_WAS_HERE

返回结果始终为：

{"errors":[{"message":"GraphQL introspection is not allowed by Apollo Server, but the query contained __schema or __type. To enable introspection, pass introspection: true to ApolloServer in production","locations":[{"line":1,"column":3}],"extensions":{"code":"GRAPHQL_VALIDATION_FAILED"}}]}

解决方案 #

方案一：确保Strapi配置正确生效 #

1. 核对配置层级：Strapi v4的GraphQL配置必须保证apolloServer嵌套在graphql.config下，结构不能错。同时检查部署环境的NODE_ENV是否为production，如果环境变量没设置对，可能加载的是开发环境配置。
2. 重启服务：修改配置后必须重启生产环境的Strapi服务，配置才会生效。用PM2管理的话执行pm2 restart strapi；Docker部署则重启容器或重新构建镜像。
3. 验证配置加载：可以加日志确认配置是否被读取：

// config/plugins.ts
export default () => {
  const config = {
    graphql: {
      enabled: true,
      config: {
        playgroundAlways: true,
        apolloServer: {
          introspection: true,
        },
      },
    },
  };
  console.log('Loaded GraphQL config:', config.graphql.config.apolloServer);
  return config;
};

重启服务后看日志，确认introspection值为true。

方案二：从开发环境导出Schema，本地提供给Nuxt3 #

这种方式不用开启生产环境自省，更安全：

1. 开发环境导出Schema：
   先安装导出工具：

   npm install -g graphql-cli
   

   执行导出命令（替换为你的开发环境Strapi GraphQL地址）：

   get-graphql-schema http://localhost:1337/graphql > schema.graphql
   

   或者用Apollo工具：

   npx apollo schema:download --endpoint=http://localhost:1337/graphql schema.graphql
   

2. Nuxt3配置使用本地Schema：
   在nuxt.config.ts里指定客户端读取本地Schema：

   export default defineNuxtConfig({
     modules: ['@nuxtjs/apollo'],
     apollo: {
       clients: {
         default: {
           httpEndpoint: 'https://your-production-strapi-url/graphql',
           schema: './schema.graphql', // 指向导出的本地Schema文件
         },
       },
     },
   });
   

   这样nuxt prepare会直接读取本地文件，不再依赖生产环境的自省查询。

方案三：权限控制下开启生产环境自省 #

如果必须在生产环境开自省，可以通过权限限制仅允许特定请求访问：

1. 创建专用角色：在Strapi后台「设置」→「角色与权限」里新建角色（比如Schema Access）。
2. 配置权限：给该角色开启「GraphQL」→「Introspection」的权限（如果没有这个选项，先在GraphQL插件设置里开启权限控制）。
3. 绑定专用用户：创建一个专用用户，分配这个角色，把用户的JWT令牌存在环境变量中。
4. Nuxt配置携带认证头：

   export default defineNuxtConfig({
     apollo: {
       clients: {
         default: {
           httpEndpoint: 'https://your-production-strapi-url/graphql',
           headers: {
             Authorization: `Bearer ${process.env.STRAPI_SCHEMA_TOKEN}`,
           },
         },
       },
     },
   });
   

   最后确保config/plugins.ts里的introspection: true配置生效，这样只有带有效令牌的请求才能访问自省，避免Schema公开暴露。

内容的提问来源于stack exchange，提问作者cas993