在 graphql-Spring-启动-启动器中使用不带身份验证的自省查询

Question

使用graphql Spring Boot启动程序库https://github.com/graphql-java-kickstart/graphql-spring-boot，是否可以保护所有请求，但只允许带有身份验证的graphql自检查询？

该项目已启用Spring Security以使用OAuth2，因此每个请求都受到保护。

谢谢你的任何提示或帮助。

Answer 1

您可以在应用程序中定义属性。yml用于您希望在未经授权的情况下执行的graphql操作。例如，在应用程序中。yml公司-

在WebSecurityConfig.java中，您可以如下所示绑定排除操作变量，@Value（"${authorization.excludedoperation}"）私有字符串排除操作；

并将excludedOperation定义为GraphQLServletExecutor、GraphQLServletExecutorImpl的实现中的字段。在WebSecurityConfig.java中，从返回GraphQLServletExecutor(替换spqrmvcautoconfiguration . graphql executor)的@Bean方法中，返回GraphQLServletExecutorImpl，并将excludedOperation作为构造函数参数之一。

在 GraphQL 服务器可执行文件中，确保在执行函数中，仅当 GraphQL 请求中的操作名称不包含排除的操作（在您的情况下是自检查询）时，才执行授权。

公共地图

    ExecutionInput input = buildInput(graphQLRequest, nativeRequest, contextFactory, dataLoaderRegistryFactory);

    if (!excludedOperations.contains(graphQLRequest.getOperationName())) {
        
        // check the access_token
        HttpServletRequest request = nativeRequest.getNativeRequest(HttpServletRequest.class);
            bearerTokenAuthorizer.authorize(EMPTY_AUTH_ANNOTATION, request);
            //do your thing

    }

    return graphQL.execute(input).toSpecification();
}