如何在GraphQL中限制PARTNER角色用户的查询格式？

针对你需要限制PARTNER角色只能执行固定格式查询的需求，以下是几种实用的实现方式：

1. 解析查询AST做严格结构校验 #

GraphQL查询会被解析为抽象语法树（AST），你可以在请求校验阶段遍历AST，与预定义的允许结构做完全匹配校验。

实现步骤： #

• 预先将允许的Query1解析为AST并保存
• 在请求拦截环节，判断用户角色为PARTNER时，解析当前请求的查询AST
• 递归对比两个AST的字段层级、字段名称，确保没有额外字段或缺失字段

示例代码（Node.js环境）： #

const { parse } = require('graphql');

// 预定义允许的查询AST
const allowedQueryAST = parse(`
query Query1 {
  user {
    items {
      name
    }
  }
}
`);

// 递归校验AST结构是否完全匹配的工具函数
function isQueryStructureMatch(actualAST, allowedAST) {
  // 校验查询定义
  const actualDef = actualAST.definitions[0];
  const allowedDef = allowedAST.definitions[0];
  if (actualDef.operation !== allowedDef.operation) return false;

  // 递归校验选择集
  function validateSelectionSet(actualSelSet, allowedSelSet) {
    if (actualSelSet.selections.length !== allowedSelSet.selections.length) return false;
    
    return actualSelSet.selections.every((actualField, idx) => {
      const allowedField = allowedSelSet.selections[idx];
      // 校验字段名
      if (actualField.name.value !== allowedField.name.value) return false;
      // 若字段有子选择集，递归校验
      if (actualField.selectionSet && allowedField.selectionSet) {
        return validateSelectionSet(actualField.selectionSet, allowedField.selectionSet);
      }
      // 一方有子选择集另一方没有，不匹配
      return !actualField.selectionSet && !allowedField.selectionSet;
    });
  }

  return validateSelectionSet(actualDef.selectionSet, allowedDef.selectionSet);
}

// 在GraphQL服务的请求预处理环节使用
function validatePartnerQuery(req) {
  const userRole = req.context.user?.role;
  if (userRole === 'PARTNER') {
    try {
      const queryAST = parse(req.body.query);
      if (!isQueryStructureMatch(queryAST, allowedQueryAST)) {
        throw new Error('无权限：仅允许执行指定格式的查询');
      }
    } catch (err) {
      throw new Error('查询格式非法：仅允许执行指定格式的查询');
    }
  }
}

2. 结合字段级权限指令+AST校验 #

常规的字段级权限指令（比如自定义@auth）可以限制敏感字段的访问，但要实现严格匹配固定查询，还需配合AST校验：

• 给Item.id、Item.price添加@auth(requires: ADMIN)指令，让PARTNER角色无法访问这些字段
• 额外校验查询的字段层级是否完全符合要求（比如确保用户必须请求user -> items -> name，不能少层级或多字段）

3. 直接匹配标准化后的查询字符串（简单场景适用） #

如果允许的查询格式完全固定，可以标准化请求的查询字符串后，与预定义的允许字符串做精确匹配：

// 预定义标准化后的允许查询字符串
const allowedNormalizedQuery = `query Query1{user{items{name}}}`;

function validatePartnerQuery(req) {
  const userRole = req.context.user?.role;
  if (userRole === 'PARTNER') {
    // 标准化请求查询：去除所有空白字符
    const normalizedQuery = req.body.query.replace(/\s+/g, '');
    if (normalizedQuery !== allowedNormalizedQuery) {
      throw new Error('无权限：仅允许执行指定格式的查询');
    }
  }
}

注意事项： #

• AST校验的方式更健壮，能忽略查询中的空格、注释、别名等无关内容（如果需要禁止别名，可在AST校验中添加别名检查逻辑）
• 若需支持多个固定查询，可扩展为匹配多个允许的AST或标准化字符串
• 校验逻辑建议放在GraphQL服务的请求预处理阶段，避免不必要的解析和执行

内容的提问来源于stack exchange，提问作者fuzes