Предотвращение эксплойта утечки данных о взаимоотношениях с помощью graphql

С помощью @xadm. Мне удалось собрать решение, которое идеально мне подошло.

После прочтения этой статьи о том, как работает выполнение запроса . Я понял, как писать преобразователи полей. Преобразователь полей позволяет мне определять, как именно разрешается конкретное поле. Я сделал преобразователь полей для Board: boardUserRoles.

Вот мой преобразователь поля.

Board: {
    boardUserRoles: async (parent: Board, args, ctx, info) => {
        // getting user id from header.
        const userId: string = VerificationHelper.getUserId(ctx);

        // Verifying role of user.
        return VerificationHelper.verifyRole(userId, ["ADMIN"], ctx).pipe(
            map(
                (result: boolean) => {
                    // If the user has an admin role, show the roles
                    if (result) {
                        return parent.boardUserRoles;
                    // If not, map the results to undefined
                    } else {
                        return undefined;
                    }
                }
            )
        ).toPromise();
    }
}

Затем я добавил этот преобразователь в свой список преобразователей при создании graphql.

const server: GraphQLServer = new GraphQLServer({
    typeDefs: "src/schema.graphql",
    resolvers: {
        Query: QueryResolvers,
        Mutation: MutationResolvers,
        Subscription: SubscriptionResolvers,
        ...FieldResolvers, // A file that contains all my field resolvers.
        AuthPayload
    },
    context: (req: any) => ({
        ...req,
        prisma: new Prisma({
            typeDefs: "src/generated/prisma.graphql",
            endpoint: endpoint()
        })
    })
});

Это очень простой преобразователь полей. Он проверяет роль пользователя и определяет, следует ли скрывать данные или отображать данные. Я просмотрел всю свою схему и нашел другие эксплойты данных. Я исправил те, которые нашел с помощью преобразователей полей, и теперь все работает отлично.

Спасибо за помощь @xadm, ваши ссылки указали мне правильное направление.

При использовании Prisma вы можете изменять структуры данных, которые доступны вашим клиентским приложениям, переопределив тип в схеме приложения.

Определения SDL, которые вы показываете в своем вопросе, мне кажутся моделью данных Prisma. Я предполагаю, что у вас также есть сервер API (возможно, реализованный с помощью graphl-yoga или apollo-server), который предоставляет API GraphQL, который будет использоваться вашими клиентскими приложениями. Назовем схему GraphQL, определяющую этот API, схемой приложения. Внутри схемы приложения вы можете переопределить типы из вашей модели данных так, как вы хотите предоставить их своим клиентам.

Вот простой пример:

Предположим, у вас есть следующий User тип в вашей модели данных Prisma:

type User {
  id: ID! @unique
  email: String! @unique
  password: String!
  name: String!
  posts: [Post!]!
}

Теперь вы не хотите раскрывать password своим клиентам. Итак, что вы можете сделать, так это переопределить тип User таким образом, чтобы ваши клиенты могли получить к нему доступ. Вот как вы можете определить его в схеме приложения (часто называемой schema.graphql):

type User {
  id: ID!
  email: String!
  name: String!
  posts: [Post!]!
}

Вы можете найти работающую версию этого примера здесь . Кроме того, если вас смущает терминология схемы приложения и модели данных, я рекомендую вам прочитать эта часть документации Prisma.