GraphQL授权策略：通过自定义策略增强API安全性

2024-03-07 20:02:27

GraphQL授权策略：使用自定义策略加强API安全性

在GraphQL API中，确保只有授权用户才能访问特定数据至关重要。Laravel Lighthouse 提供了一个强大的授权系统，可以让你根据各种因素限制对字段的访问。本文将介绍如何使用自定义策略在Lighthouse中实施细粒度的授权逻辑。

授权指令的局限性

Lighthouse提供了**@can** 授权指令，但它无法获取当前访问的模型，这在需要基于模型进行授权的情况下会造成限制。另外，建议的自定义字段限制指令也不适合这种场景。

自定义策略的优势

自定义策略为授权提供了更大的灵活性，它可以访问当前访问的模型，并根据各种条件进行授权检查。

实施策略

要使用策略进行授权，请按照以下步骤操作：

创建一个策略类，它实现了Illuminate\Contracts\Auth\Access\Gate接口。
在策略中定义授权规则，检查用户是否有权执行特定操作。
在Lighthouse\Schema\Directives\BaseDirective中创建一个自定义授权指令。
在指令处理程序中，检查用户是否具有所需的权限，并根据需要引发AuthorizationException。
在GraphQL Schema中使用指令来保护字段。

案例示例

以下示例展示了如何为User模型创建自定义策略：

namespace App\Policies;

use App\User;
use Illuminate\Auth\Access\HandlesAuthorization;

class UserPolicy
{
    use HandlesAuthorization;

    public function view(User $user, User $model)
    {
        return $user->id === $model->id;
    }
}

在Lighthouse Schema中，使用以下指令来保护User类型的name字段：

'User' => [
    'name' => [
        'type' => GraphQL::string(),
        'resolve' => function ($user) {
            return $user->name;
        },
        'directives' => [
            new AuthorizeDirective([
                'ability' => 'view',
            ]),
        ],
    ],
]