基于权限限制的数据用TypeScript/GraphQL类型表示是否可行？

我正在用TypeScript和GraphQL构建系统，部分GraphQL请求结果会根据用户权限等级调整。以报价和订单项为例：用户请求查看报价时，订单项包含价格和数量，但部分用户无权查看价格。

目前我们把多数字段设为可空来处理，但这种方式不仅难以维护，还无法准确反映系统逻辑。我们打算借助TypeScript和GraphQL的类型系统优化方案，比如为不同权限等级创建对应数据类型：

interface LineItemWithPricing {
  id: string;
  name: string;
  description: string;
  cost: number;
  taxable: boolean;
  quantity: number;
}

interface LineItemWithoutPricing {
  id: string;
  name: string;
  description: string;
  quantity: number;
}

// ... (订单项还有更多字段，也存在其他字段组合情况)

type LineItem = LineItemWithPricing | LineItemWithoutPricing | <other options>;

（我们可以用Pick、Omit等工具类型共享结构，为清晰起见此处省略。）

核心问题：

• 在这类数据与API返回类型受权限限制的系统中，将权限纳入类型系统是否合理？
• 是否有更标准的实现方式？
• 是否存在更优方案？
• 我们已实现部分类型方案，但不确定长期维护是否会遇到问题。

解决方案与分析 #

1. 将权限纳入类型系统完全合理 #

这种做法能在编译阶段就完成权限相关的类型校验，比把字段设为可空的方式更精准：

• 可空字段无法区分“字段不存在”和“字段为空”的逻辑，而权限专属类型能明确不同权限下的数据结构。
• 能避免前端误访问无权限字段的问题，编译器会直接报错，减少运行时bug。

2. 标准实现方式 #

TypeScript层面：用工具类型减少重复

不要手动定义重复的接口，基于基础类型衍生权限专属类型更易维护：

// 定义基础订单项结构，包含所有权限下都可见的字段
interface BaseLineItem {
  id: string;
  name: string;
  description: string;
  quantity: number;
}

// 管理员可见的带价格类型：基础字段 + 权限专属字段
type LineItemWithPricing = BaseLineItem & {
  cost: number;
  taxable: boolean;
};

// 普通查看者可见的类型：直接复用基础类型
type LineItemWithoutPricing = BaseLineItem;

GraphQL层面：用联合类型+Resolver权限校验

在GraphQL Schema中定义联合类型，然后在Resolver里根据用户权限返回对应类型：

union LineItem = LineItemWithPricing | LineItemWithoutPricing

type LineItemWithPricing {
  id: ID!
  name: String!
  description: String!
  cost: Float!
  taxable: Boolean!
  quantity: Int!
}

type LineItemWithoutPricing {
  id: ID!
  name: String!
  description: String!
  quantity: Int!
}

type Query {
  quote(id: ID!): Quote
}

在Resolver中，根据当前用户的权限，决定返回LineItemWithPricing还是LineItemWithoutPricing实例，GraphQL会自动校验返回的类型是否符合定义。

3. 更优方案：集中管理权限-类型映射 #

如果权限等级和对应字段组合较多，可以用类型映射来统一维护，避免类型分散：

// 定义所有权限等级
type PermissionLevel = 'admin' | 'viewer' | 'editor';

// 映射权限到对应的订单项类型
type PermissionToLineItem = {
  admin: LineItemWithPricing;
  viewer: LineItemWithoutPricing;
  editor: BaseLineItem & { taxable: boolean }; // 示例编辑者可见的字段组合
};

// 根据用户权限动态获取类型
type LineItemForUser<T extends PermissionLevel> = PermissionToLineItem[T];

// 使用示例：给管理员用的订单项类型
type AdminLineItem = LineItemForUser<'admin'>;

另外，可配合GraphQL代码生成工具，根据Schema自动生成对应的TypeScript类型，保持两端类型完全一致，避免手动同步的错误。

4. 长期维护的注意事项 #

• 避免类型爆炸：如果权限组合过于复杂，不要创建过多独立类型，尽量用Pick/Omit/&等工具类型组合基础类型，保持代码简洁。
• 权限逻辑集中化：把权限判断逻辑抽离到统一的工具函数中，Resolver只负责调用工具函数判断权限，再返回对应类型，避免权限逻辑散落在各处。
• 保持两端一致性：GraphQL Schema和TypeScript类型要同步更新，用代码生成工具能大幅降低维护成本，避免出现Schema和类型不匹配的情况。

内容的提问来源于stack exchange，提问作者Greg Bell