基于字段与鉴权在Laravel Lighthouse中实现字段隐藏方案咨询

问题场景 #

我需要根据Type的其他字段及上下文条件控制字段值的显示/隐藏。例如定义了如下Profile类型：

type Profile {
    id: ID! @cacheKey

    "Display name of the profile"
    display_name: String!

    "Handle / Slug of the profile"
    handle: Handle

    "If the profile is private"
    private: Boolean!

    "Connected socials this profile has added"
    socials: [ProfileSocial!]! @hasMany(relation: "publicSocials") @cache
}

需求是：当private为true时隐藏socials字段，但满足以下任一条件时需显示该字段：

• 当前用户是该profile的所有者（匹配user_id）
• 当前用户是管理员
• 当前用户与该profile用户是好友

我尝试过Model Policies、scopes但没找到合适方案：Model Policies会影响隐藏属性，Lighthouse不支持该特性；scopes无法在构建器中获取模型属性，无法实现条件字段隐藏。最终我写了一个FieldMiddleware通过判断返回null，但担心这不是最优方案，想请教实现该需求的最佳方式。

我的FieldMiddleware代码：

public function handleField(FieldValue $fieldValue, Closure $next)
{
    $fieldValue = $next($fieldValue);
    $resolver = $fieldValue->getResolver();

    $fieldValue->setResolver(function ($root, array $args, GraphQLContext $context, ResolveInfo $resolveInfo) use ($resolver){
        if($root->private) {
            $authenticated = auth()->check();

            if($authenticated && auth()->id() !== $root->user_id || ! $authenticated) {
                return null;
            }
        }

        return $resolver($root, $args, $context, $resolveInfo);
    });

    return $fieldValue;
}

最优实现方案分析 #

你的FieldMiddleware思路可行，但可以优化逻辑和复用性，同时还有两种更贴合Lighthouse生态的方案：

1. 优化现有FieldMiddleware #

先完善逻辑覆盖所有需求条件，同时抽离公共判断逻辑提升复用性：

public function handleField(FieldValue $fieldValue, Closure $next)
{
    $fieldValue = $next($fieldValue);
    $originalResolver = $fieldValue->getResolver();

    $fieldValue->setResolver(function ($root, array $args, GraphQLContext $context, ResolveInfo $resolveInfo) use ($originalResolver) {
        // 非私有profile直接返回社交数据
        if (!$root->private) {
            return $originalResolver($root, $args, $context, $resolveInfo);
        }

        $currentUser = $context->user();
        // 未登录用户直接隐藏字段
        if (!$currentUser) {
            return null;
        }

        // 检查权限条件
        $isOwner = $currentUser->id === $root->user_id;
        $isAdmin = $currentUser->is_admin; // 假设用户模型有is_admin字段
        $isFriend = $currentUser->friends()->where('friend_id', $root->user_id)->exists(); // 替换为实际好友关系查询逻辑

        if ($isOwner || $isAdmin || $isFriend) {
            return $originalResolver($root, $args, $context, $resolveInfo);
        }

        // 不满足条件则返回null
        return null;
    });

    return $fieldValue;
}

这种方案优势是直接针对字段处理，逻辑清晰，适合单个或多个字段需要统一权限逻辑的场景。如果需要跨多个字段复用判断逻辑，可以把权限检查抽成单独的服务类。

2. 使用Lighthouse @can指令结合自定义Policy #

这是最贴合Laravel权限体系的方案，利用Lighthouse的@can指令关联字段级的Policy能力：

首先在ProfilePolicy中添加字段级权限判断：

class ProfilePolicy
{
    public function viewSocials(User $user, Profile $profile)
    {
        // 非私有profile直接允许访问
        if (!$profile->private) {
            return true;
        }

        // 检查权限条件
        return $user->id === $profile->user_id 
            || $user->is_admin 
            || $user->friends()->where('friend_id', $profile->user_id)->exists();
    }
}

然后在GraphQL类型中给socials字段添加@can指令：

type Profile {
    # ... 其他字段
    socials: [ProfileSocial!]! @hasMany(relation: "publicSocials") @cache @can(ability: "viewSocials")
}

这种方案复用性强，统一遵循Laravel的权限管理规范，适合多模型、多字段的权限控制场景。Lighthouse的@can指令默认会在字段解析前检查权限，不满足时返回null（可通过配置调整为抛出异常）。

3. 自定义字段解析器 #

直接给字段指定自定义解析器，将权限判断和数据解析逻辑合并：

type Profile {
    # ... 其他字段
    socials: [ProfileSocial!]! @field(resolver: "App\\GraphQL\\Resolvers\\ProfileSocialResolver@resolve")
}

编写解析器类：

class ProfileSocialResolver
{
    public function resolve($root, array $args, GraphQLContext $context)
    {
        if (!$root->private) {
            return $root->publicSocials;
        }

        $currentUser = $context->user();
        if (!$currentUser) {
            return null;
        }

        $isOwner = $currentUser->id === $root->user_id;
        $isAdmin = $currentUser->is_admin;
        $isFriend = $currentUser->friends()->where('friend_id', $root->user_id)->exists();

        if ($isOwner || $isAdmin || $isFriend) {
            return $root->publicSocials;
        }

        return null;
    }
}

这种方案逻辑直观，针对性强，适合单个字段需要复杂解析逻辑+权限判断的场景。

方案对比 #

综上，如果你的项目已经在用Laravel Policy，优先选择@can指令的方案，它更符合Laravel设计哲学，维护成本更低；如果只是单个字段的简单控制，优化后的FieldMiddleware或自定义解析器都可以。

内容的提问来源于stack exchange，提问作者Edwin Duoo