Graphcool框架教程：基于GraphQL权限查询实现CMS授权系统-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00353/article/details/148945883

Graphcool框架教程：基于GraphQL权限查询实现CMS授权系统

graphcool-framework 项目地址: https://gitcode.com/gh_mirrors/gr/graphcool-framework

前言

在现代应用开发中，安全机制是至关重要的组成部分。本文将深入探讨如何在Graphcool框架中为内容管理系统(CMS)实现精细化的授权控制。我们将通过三种核心授权模式：基于角色的授权、基于关系的授权和基于所有者的授权，来构建一个完整的文档管理系统权限体系。

系统数据模型设计

首先，让我们定义系统的核心数据模型：

type User {
  id: ID
  name: String!
  role: UserRole!
  accessGroups: [AccessGroup!]! @relation(name: "AccessGroupMembers")
  documents: [Document!]! @relation(name: "DocumentOwner")
}

type Document {
  id: ID
  content: String!
  published: Boolean!
  title: String!
  accessGroups: [AccessGroup!]! @relation(name: "AccessGroupDocuments")
  owner: [User!]! @relation(name: "DocumentOwner")
}

type AccessGroup {
  id: ID
  operation: AccessGroupOperation!
  members: [User!]! @relation(name: "AccessGroupMembers")
  documents: [Document!]! @relation(name: "AccessGroupDocuments")
}

enum UserRole {
  EDITOR,
  MODERATOR,
  ADMIN
}

enum AccessGroupOperation {
  READ,
  UPDATE,
  DELETE
}

这个模型定义了用户(User)、文档(Document)和访问组(AccessGroup)三种核心类型，以及它们之间的关系。

权限查询基础

在Graphcool中，权限是通过GraphQL查询来定义的，称为"权限查询"。这些查询返回布尔值，决定是否允许某个操作。一个基本的权限查询示例如下：

query permitViewDocuments($node_id: ID!) {
  SomeDocumentExists(filter: {
    id: $node_id
    published: true
  })
}

这个查询检查文档是否已发布(published: true)，如果是，则允许查看操作。

基于角色的授权模式

基于角色的授权是最常见的权限控制方式，特别适合需要区分不同用户类型和权限级别的场景。

管理员查看所有文档

query permitViewDocuments($user_id: ID!) {
  SomeUserExists(filter: {
    id: $user_id
    role: ADMIN
  })
}

这个查询检查当前用户是否为ADMIN角色，如果是则允许查看所有文档。

编辑者只能将自己设为文档所有者

query permitCreateDocuments($user_id: ID!, $ownerUser_id: ID!) {
  SomeUserExists(filter: {
    AND: [{
      id: $user_id
    }, {
      id: $ownerUser_id
    }, {
      role: EDITOR
    }]
  })
}

这里使用了AND逻辑运算符，确保当前用户是EDITOR角色，并且尝试将自己设为文档所有者。

管理员和版主可以发布/取消发布文档

query permitUpdateDocuments($user_id: ID!) {
  SomeUserExists(filter: {
    id: $user_id
    role_in: [ADMIN, MODERATOR]
  })
}

使用role_in操作符检查用户是否具有ADMIN或MODERATOR角色。

基于关系的授权模式

基于关系的授权提供了更细粒度的控制，特别适合需要复杂权限规则的场景。

访问控制列表(ACL)实现

query permitViewDocuments($node_id: ID!, $user_id: ID!) {
  SomeDocumentExists(filter: {
    id: $node_id
    accessGroups_some: {
      accessLevel: READ
      members_some: {
        id: $user_id
      }
    }
  })
}

这个查询沿着文档→访问组→用户的路径，检查用户是否在具有READ权限的访问组中。

更新权限控制

query permitUpdateDocuments($node_id: ID!, $user_id: ID!) {
  SomeDocumentExists(filter: {
    id: $node_id
    accessGroups_some: {
      accessLevel: UPDATE
      members_some: {
        id: $user_id
      }
    }
  })
}

类似地，这个查询检查用户是否在具有UPDATE权限的访问组中。

基于所有者的授权模式

基于所有者的授权是最直观的权限控制方式，适用于资源所有权明确的场景。

所有者查看自己的文档

query permitViewDocuments($node_id: ID!, $user_id: ID!) {
  SomeDocumentExists(filter: {
    id: $node_id
    owner: {
      id: $user_id
    }
  })
}

这个查询直接检查当前用户是否是文档的所有者。

所有者编辑和删除权限

query permitUpdateDocuments($node_id: ID!, $user_id: ID!) {
  SomeDocumentExists(filter: {
    id: $node_id
    owner: {
      id: $user_id
    }
  })
}

类似的模式可以应用于更新和删除操作，只需更改操作类型即可。