Spring Boot GraphQL中如何按请求隐藏User类型指定字段？

针对你的需求，不需要拆分User类型为Public/Private两种，更简洁高效的标准做法是字段级权限控制，结合Spring Boot GraphQL的特性，有几种落地方式：

1. 字段级权限注解（推荐） #

借助Spring Security与GraphQL的集成，直接在User的email字段上添加权限判断注解，实现只有当前登录用户能查看自己的邮箱：

首先保持你的GraphQL Schema不变：

type Query {
  userById(id: ID): User
  getMe: User
}

type User {
    id: ID!
    email: String!
    firstName: String!
    lastName: String!
}

然后在Java的User实体类的email字段getter方法上添加@PreAuthorize注解：

@GraphQlType
public class User {
    private String id;
    private String email;
    private String firstName;
    private String lastName;

    // 其他字段的getter方法

    @GraphQlField
    @PreAuthorize("#root.id == authentication.name")
    public String getEmail() {
        return email;
    }
}

这个注解的逻辑是：只有当被查询的User的id与当前登录用户的id（从JWT认证信息中获取）一致时，才返回email字段，否则该字段会返回null或者抛出权限异常（可通过Spring Security配置调整）。

2. DataFetcher内手动控制字段返回 #

如果不想依赖Spring Security注解，也可以在查询的DataFetcher中直接处理字段可见性：

@Component
public class UserDataFetchers {

    @Autowired
    private UserRepository userRepository;

    @GraphQlQuery(name = "userById")
    public User userById(@Argument String id) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        User user = userRepository.findById(id).orElse(null);
        // 非当前用户查询时，清空email字段
        if (auth == null || !auth.getName().equals(user.getId())) {
            user.setEmail(null);
        }
        return user;
    }

    @GraphQlQuery(name = "getMe")
    public User getMe() {
        String currentUserId = ((Jwt) SecurityContextHolder.getContext().getAuthentication().getCredentials()).getSubject();
        return userRepository.findById(currentUserId).orElse(null);
    }
}

3. 自定义字段拦截器 #

需要全局统一控制字段权限时，可以自定义DataFetcher拦截器，拦截email字段的解析逻辑：

@Component
public class EmailFieldInterceptor implements DataFetcherInterceptor {

    @Override
    public CompletableFuture<Object> intercept(DataFetchingEnvironment env, DataFetcherInterceptorChain chain) {
        if ("email".equals(env.getFieldDefinition().getName())) {
            Authentication auth = SecurityContextHolder.getContext().getAuthentication();
            User targetUser = (User) env.getSource();
            // 仅当前用户能查看自己的邮箱
            if (auth == null || !auth.getName().equals(targetUser.getId())) {
                return CompletableFuture.completedFuture(null);
            }
        }
        return chain.proceed(env);
    }
}

然后在配置类中注册拦截器：

@Configuration
public class GraphQLConfig {
    @Bean
    public RuntimeWiringConfigurer runtimeWiringConfigurer(EmailFieldInterceptor interceptor) {
        return wiringBuilder -> wiringBuilder
                .type(TypeRuntimeWiring.newTypeWiring("User")
                        .field("email")
                        .interceptor(interceptor));
    }
}

为什么不推荐拆分类型？ #

你之前考虑的接口+多实现类方式虽能实现需求，但会带来额外维护成本：

• 字段变更时需要同时修改多个类型，违反DRY原则
• 客户端需要适配不同的返回类型结构
• 增加了Schema的复杂度

而字段级权限控制只需维护一个User类型，通过逻辑控制字段可见性，是GraphQL处理这类权限需求的标准实践。

内容的提问来源于stack exchange，提问作者Tom