单次请求含多个GraphQL操作时如何仅做一次JWT授权校验

完全存在可行的落地方案，核心思路是把JWT本身的合法性校验从单操作的重复执行逻辑上移，避免每个resolver重复做令牌验签、解析的冗余操作。

具体实现路径 #

• 统一在请求入口层做JWT校验
  别把JWT验签、过期校验、签发方校验这类逻辑写在每个Query、Mutation的独立resolver里。把这部分逻辑挪到服务的HTTP请求拦截中间件，或者GraphQL执行链路最前置的上下文构建环节：请求刚到服务端、还没开始解析执行GraphQL语法树的时候，就先从请求头取出JWT完成全部校验流程，校验通过后把解析出来的用户ID、角色、权限范围等信息直接注入到整个GraphQL请求共享的context上下文对象中。后续所有resolver执行时直接从上下文取已经确认合法的用户数据即可，不需要重复执行JWT校验逻辑。
• 给校验逻辑加请求级缓存
  如果受现有架构限制，没法短时间把所有JWT校验逻辑从resolver里抽离，可以给校验逻辑加请求维度的缓存判断：第一次执行JWT校验时，把校验结果、解析出的载荷内容直接绑定到当前请求的上下文里，后续同个请求触发的其他校验逻辑，先判断上下文里是否存在已完成的校验结果，存在就直接读取结果，跳过重复的验签、解析流程。这里要注意缓存的生命周期必须和单个请求绑定，绝对不能跨请求共享，避免出现权限越权问题。
• 区分JWT合法性校验和字段级权限判断
  很多人踩坑是把两类逻辑混在了一起：一类是JWT本身是否合法的校验，另一类是当前合法用户是否有权限访问某个字段/操作的权限判断。前者只需要在请求入口执行一次即可，后者是每个字段/操作都需要做的，但这部分逻辑只是从上下文里取已有的用户信息做权限匹配，不需要重复解析验签JWT，不会产生冗余的性能开销。部分GraphQL框架（比如Apollo Server、graphql-java）会为每个操作字段触发前置鉴权钩子，不要在这类钩子中写JWT验签逻辑，只做权限匹配判断即可。

注意：不要为了减少校验次数跳过字段级的权限判断，否则很容易出现越权漏洞。JWT只做一次合法性校验不代表不需要做操作级的权限校验，只是把重复的令牌验签逻辑合并到了入口执行。

内容的提问来源于stack exchange，提问作者testidvic