Amplify GraphQL多租户场景下关联模型动态授权配置问题

你遇到的问题本质是Amplify GraphQL的授权是逐模型独立校验的，查询Order关联的Seller字段时，会单独执行Seller模型的授权规则，因此Customer用户没有Seller的读权限时就会返回null。以下是两种符合安全要求的实现方案：

方案1：限制Seller根查询权限（轻量方案） #

先给Seller开放Customer组的读权限，同时禁止Customer直接调用Seller的根查询接口（getSeller、listSellers），仅允许嵌套在Order查询中返回数据：

1. 修改Seller模型的@auth规则：

type Seller
@model
@auth (rules: [
   # 原有规则：卖家本人可读写
   { allow: owner, ownerField: "id", operations: [read, update] },
   # 新增规则：Customer组用户可读取Seller信息
   { allow: groups, groups: ["Customer"], operations: [read] },
])
{
   id: ID!
   name: String
   ...
}

2. 自定义Query级别的授权规则，限制Seller的根查询仅允许卖家本人调用：

type Query {
  listSellers: [Seller] @auth(rules: [{ allow: owner, ownerField: "id" }])
  getSeller(id: ID!): Seller @auth(rules: [{ allow: owner, ownerField: "id" }])
}

该方案无需额外开发后端逻辑，适合订单量级大的场景，Customer无法直接查询全量卖家信息，仅能在自己有权限访问的Order中读取关联的Seller数据。

方案2：基于关联关系的所有者授权（高安全方案） #

通过Seller模型的关联用户字段做精确的权限控制，仅和卖家有过订单的Customer才能读取该卖家信息：

1. 修改Seller模型，新增存储关联Customer ID的字段和对应授权规则：

type Seller
@model
@auth (rules: [
   { allow: owner, ownerField: "id", operations: [read, update] },
   # 新增规则：仅在customer_ids数组内的Customer可读取该Seller
   { allow: owner, ownerField: "customer_ids", operations: [read] }
])
{
   id: ID!
   name: String
   # 存储所有和该卖家产生过订单的Customer ID
   customer_ids: [ID]
   ...
}

2. 新增轻量逻辑：每次创建Order时，自动将下单的Customer ID添加到对应Seller的customer_ids数组中（可通过DynamoDB流触发器、Amplify函数钩子实现）。
   该方案完全基于Amplify原生的@auth能力实现，权限控制粒度更细，不存在权限溢出风险，适合客户量级不大的场景。

内容的提问来源于stack exchange，提问作者good1492