Graphile/Crystal项目中基于JWT实现用户数据隔离方案

在Graphile/Crystal这类PostGraphile框架构建的应用中，如何安全地实现用户数据隔离是一个常见需求。本文将深入探讨两种典型实现方案及其技术原理。

核心需求分析

系统需要确保用户只能访问与自己关联的数据记录（如订单数据）。传统SQL方案中，我们通常会直接在WHERE条件中使用当前用户ID进行过滤，但在GraphQL环境下需要采用更符合其设计理念的方式。

方案一：基于GraphQL关系的导航查询

这是Graphile推荐的标准做法，充分利用GraphQL的图状数据结构特性：

1. 数据库函数层
   首先创建获取当前用户信息的函数：

   CREATE FUNCTION current_user_id() RETURNS UUID AS $$
     SELECT nullif(current_setting('jwt.claims.user_id', true), '')::UUID;
   $$ LANGUAGE SQL STABLE;
   
   CREATE FUNCTION current_user() RETURNS users AS $$
     SELECT * FROM users WHERE id = current_user_id();
   $$ LANGUAGE SQL STABLE;
   

2. GraphQL查询结构
   客户端查询时通过关系导航获取数据：

   query {
     currentUser {
       orders {
         nodes {
           id
           amount
         }
       }
     }
   }
   

这种方案的优势在于：

• 完全遵循GraphQL的设计哲学
• 查询意图明确，可读性强
• 与PostgreSQL的权限系统自然集成

方案二：自定义解析器方案

对于需要更灵活控制的场景，可以通过框架的扩展机制实现：

1. 上下文注入
   在请求处理阶段将用户信息注入GraphQL上下文：

   // v4版本
   additionalGraphQLContextFromRequest: async (req) => ({
     currentUserId: req.user?.id
   })
   
   // v5版本
   preset.grafast.context: {
     currentUserId: ({ request }) => request.user?.id
   }
   

2. 自定义字段解析
   使用makeExtendSchemaPlugin创建包含业务逻辑的字段：

   extendSchemaPlugin({
     typeDefs: gql`
       extend type Query {
         myOrders: [Order!]!
       }
     `,
     resolvers: {
       Query: {
         myOrders: (_, __, context) => {
           return db.query(/* 使用context.currentUserId过滤 */)
         }
       }
     }
   })
   

安全注意事项

1. 虽然技术上可以实现绕过RLS(行级安全)的方案，但这会显著降低系统安全性
2. JWT claims中的用户标识必须进行严格的输入验证
3. 所有自定义解析器都应实现与RLS同等的权限检查

方案选型建议

对于大多数应用场景，推荐采用标准的关系导航方案。它不仅更安全，还能更好地利用PostgreSQL的内置特性。自定义解析器方案更适合以下情况：

• 需要复杂的数据聚合逻辑
• 涉及多租户的特殊权限需求
• 现有数据库模式难以改造的情况

通过合理运用这些模式，开发者可以在Graphile/Crystal框架中构建出既安全又灵活的数据访问层。实际实施时，建议结合具体业务需求进行技术选型，并在开发早期建立完善的权限测试用例。