如何将Flask-Security的current_user传递给可插拔视图函数？

这个问题我之前也踩过坑！核心原因是GraphQLView默认没有触发Flask-Security的认证流程，导致请求上下文里的current_user代理没有被正确初始化，直接退化成了AnonymousUser。下面给你两种贴合你代码的解决方案：

方案一：强制所有GraphQL请求走认证流程 #

如果你的所有GraphQL接口都需要用户登录后才能访问，最简单的方式是自定义一个带认证的GraphQLView，继承原类并加上@login_required装饰器：

from flask_security import login_required
from flask_graphql import GraphQLView

# 自定义带登录认证的GraphQL视图
class SecureGraphQLView(GraphQLView):
    @login_required
    def dispatch_request(self):
        # 先触发Flask-Security的认证，再处理GraphQL请求
        return super().dispatch_request()

然后替换你原来注册GraphQL视图的代码，用这个自定义类：

# 假设你已经定义好了你的GraphQL schema
from .your_schema_file import schema

# 注册带认证的GraphQL路由
app.add_url_rule(
    '/graphql',
    view_func=SecureGraphQLView.as_view(
        'graphql',
        schema=schema,
        graphiql=True  # 保留GraphiQL调试界面
    )
)

这样一来，任何访问/graphql的请求都会先经过Flask-Security的认证校验，current_user就能在你的GraphQL resolver里正常访问了。

方案二：在GraphQL Context中传入current_user（灵活控制认证） #

如果你的GraphQL接口有公开和私有之分，不需要强制所有请求都认证，可以把current_user传入GraphQL的上下文（Context）中，在需要认证的resolver里手动检查：

首先，注册GraphQL视图时，指定context参数为一个返回包含current_user的字典的函数：

from flask_security import current_user

def get_graphql_context():
    # 这里用_get_current_object()拿到真实的用户对象，避免代理问题
    return {'current_user': current_user._get_current_object()}

# 注册GraphQL视图，传入自定义上下文
app.add_url_rule(
    '/graphql',
    view_func=GraphQLView.as_view(
        'graphql',
        schema=schema,
        graphiql=True,
        context=get_graphql_context
    )
)

然后在你的GraphQL resolver里，通过info.context获取用户，并做认证检查：

class Query(graphene.ObjectType):
    # 示例：获取当前登录用户信息的查询
    me = graphene.Field(UserType)
    # 公开的查询（比如获取公共Todo列表）
    all_todos = SQLAlchemyConnectionField(TodoModel)

    def resolve_me(self, info):
        current_user = info.context.get('current_user')
        if current_user.is_anonymous:
            raise Exception("请先登录！")
        return current_user

    def resolve_all_todos(self, info):
        # 公开接口，不需要认证，直接返回数据
        return session.query(TodoModel).all()

这种方式更灵活，既能处理公开接口，又能在需要认证的地方校验用户身份。

为什么原来的代码不行？ #

Flask-Security的current_user是一个请求上下文代理，它依赖Flask的请求上下文存在，并且需要经过认证流程（比如@login_required装饰器触发的校验）才能绑定到当前登录用户。而默认的GraphQLView没有触发这个认证流程，所以current_user只能拿到匿名用户对象。

内容的提问来源于stack exchange，提问作者Kasra Magmont