GraphQL API报AccessDenied错误 无法在客户端删除购物车项如何排查

问题场景还原 #

• 项目技术栈：老版Keystone（@keystonejs 5.x）、GraphQL、MongoDB
• 设计目标：站点无强制登录流程，所有访客可自由添加、删除购物车商品
• 已完成的权限配置：
  • Keystone初始化时设置defaultAccess为列表、字段全量放行
  • 每个数据列表的access字段全部设为true，覆盖create/read/update/delete四个操作维度
  • GraphQLApp、AdminUIApp初始化时设置isAccessAllowed: true
• 异常表现：
  • 客户端触发删除购物车商品操作时返回AccessDenied错误
  • 独立启动的GraphQL Playground环境下，可正常执行删除操作
  • 管理端内置Playground、客户端发起的请求均无法完成删除操作，复现同款报错（对应GraphQL Playground报错截图，客户端错误完全一致）

核心排查方向与解决方案 #

• 字段级权限漏配，触发关联校验拦截
  老版Keystone的权限校验是分层的：列表级权限开全量，不代表字段级权限自动生效。尤其是购物车相关的列表，大多配置了关联外键（比如Cart关联foodCartItem、saladCartItem），如果关联字段单独配置了权限校验（比如默认仅创建者可操作），删除操作触发关联数据校验时就会被拦截，返回AccessDenied。
  修复方式：在每个列表的配置中，显式追加字段级权限兜底，不要依赖默认权限规则：

  const foodCartItem = list({
    access: {
      read: true,
      update: true,
      delete: true,
      create: true
    },
    fields: {
      // 原有字段定义，比如关联的FoodItem、所属Cart等
    },
    // 追加这一段，全量覆盖字段级权限
    fieldAccess: {
      create: true,
      read: true,
      update: true
    }
  })
  

• GraphQLApp的权限判断写法错误
  当前配置的isAccessAllowed: true是常量值，老版Keystone实际要求该参数传入一个函数，所有请求上下文都会执行这个函数的返回值做权限判断。如果直接传常量true，框架会把它解析为依赖请求上下文的判断逻辑，对未携带登录态的匿名请求会默认拦截。
  修复方式：把GraphQLApp的isAccessAllowed改为显式返回true的函数：

  new GraphQLApp({
    // 不要直接写常量true，要传入函数
    isAccessAllowed: () => true,
    apiPath: '/api/graphql',
  })
  

• 不同调试环境的请求上下文差异导致的误判
  独立Playground可以正常操作、管理端和客户端报错的核心差异，是独立Playground之前可能已经携带了管理端的登录Cookie，用已登录身份绕过了匿名权限校验；而客户端、管理端内置Playground发起的是匿名请求，如果匿名请求的权限没有被框架识别为放行，就会返回错误。
  修复方式：在Keystone初始化时，显式为匿名身份开放所有操作权限，不要依赖defaultAccess的默认行为：

  const keystone = new Keystone({
    adapter: new Adapter(adapterConfig),
    cookieSecret: process.env.COOKIE_SECRET,
    defaultAccess: {
      list: true,
      field: true
    },
  })
  

• 级联删除的权限校验拦截
  购物车的删除操作通常会配置级联规则：比如删除Cart记录时，会自动删除关联的所有CartItem记录。Keystone对级联触发的子操作会单独做权限校验，如果子列表（也就是foodCartItem、saladCartItem）的删除权限没有和父列表保持一致，就会在级联环节抛出AccessDenied错误。
  修复方式：检查所有购物车相关列表的权限配置，确保所有关联列表的delete权限都显式设为true，不要用函数形式的权限判断。

内容的提问来源于stack exchange，提问作者Benaiah-varner