PHP（Symfony环境）：如何解析GraphQL查询字符串获取操作名称

一、用webonyx/graphql-php内置解析器提取操作 #

webonyx/graphql-php本身就自带查询解析能力，完全不用自己写正则。直接用它的Parser类解析查询字符串，遍历生成的AST（抽象语法树）就能提取目标操作：

代码示例 #

use GraphQL\Parser\Parser;
use GraphQL\Language\AST\OperationDefinitionNode;
use GraphQL\Language\AST\FieldNode;

// 获取请求中的GraphQL查询字符串
$queryString = $request->request->get('query');

// 解析查询为抽象语法树
$documentNode = Parser::parse($queryString);

// 提取所有查询操作里的字段名
$requestedOperations = [];
foreach ($documentNode->definitions as $definition) {
    if ($definition instanceof OperationDefinitionNode && $definition->operation === 'query') {
        foreach ($definition->selectionSet->selections as $selection) {
            if ($selection instanceof FieldNode) {
                $requestedOperations[] = $selection->name->value;
            }
        }
    }
}

// 此时$requestedOperations = ["my_latest_posts", "my_roles"]，可与用户配置的允许操作对比校验

二、在Symfony自定义认证器中集成 #

把上述解析逻辑嵌入自定义认证器的authenticate方法即可：

1. 从请求中读取GraphQL查询内容
2. 解析提取请求的操作列表
3. 对比用户配置的允许操作集合，若存在未授权操作，直接抛出认证异常

注意点 #

• 示例中的片段（...PostFragment）会被自动忽略，因为它不属于FieldNode类型
• 如果要处理mutation操作，只需将判断条件$definition->operation === 'query'改为'mutation'
• 要捕获查询解析异常（比如非法GraphQL语法），返回标准化的错误响应

三、更优雅的方案：利用overblog/GraphQLBundle事件 #

除了在认证器中处理，还可以监听GraphQL的PreExecuteEvent，在事件回调中获取已解析的AST，提取操作后做权限校验。这种方式更符合Symfony事件驱动的设计，代码解耦性更强。

内容的提问来源于stack exchange，提问作者Andreas