Hasura GraphQL Engine 跨数据源权限控制问题解析

问题背景

在使用Hasura GraphQL Engine时，开发者遇到了一个关于跨数据源权限控制的特殊问题。具体场景涉及PostgreSQL和ClickHouse两个数据库之间的数据关联和权限验证。

技术场景

系统架构中包含：

1. PostgreSQL数据库中的用户表(public.user)和设备表(public.device)
2. ClickHouse数据库中的设备性能表(device_performance)

需求是在ClickHouse数据源中设置权限，要求只有当PostgreSQL中的相应用户是超级用户时，才能访问设备性能数据。

问题现象

开发者尝试使用Hasura的_exists权限操作符来实现这一需求，但遇到了以下问题：

1. 在UI界面中可以选择PostgreSQL的用户表，但无法显示该表的字段
2. 尝试保存权限配置时出现解析错误："parsing TableName failed, expected String, but encountered Object"
3. 相同的权限配置在PostgreSQL数据源内部可以正常工作

技术分析

经过深入分析，发现这是Hasura权限系统的一个设计限制：

1. _exists操作符只能用于同一数据源内的表关联验证，不支持跨数据源的表存在性检查
2. 对于跨数据源的权限验证，正确的做法是使用远程关联(remote relationship)直接进行字段比较
3. UI界面的行为存在一定误导性，允许选择跨数据源表但不显示字段，这可能导致开发者误解

解决方案

针对此类跨数据源权限验证需求，推荐以下两种实现方式：

1. 使用远程关联进行权限过滤：

filter:
  remote_relationship_name:
    _and:
    - auth_uid:
        _eq: X-Hasura-User-Id
    - is_super_user:
        _eq: true

2. 数据同步方案：

• 在ClickHouse中创建用户表的副本
• 通过ETL流程保持数据同步
• 然后使用常规的_exists权限检查

最佳实践建议

1. 在设计跨数据库权限系统时，应优先考虑数据源内部的权限验证机制

2. 对于必须跨数据源的场景，建议评估业务需求是否可以通过以下方式解决：

   • 数据聚合服务层
   • 自定义GraphQL解析器
   • 业务逻辑微服务

3. 特别注意ClickHouse这类特殊数据库与Hasura的集成限制，评估是否适合直接通过GraphQL暴露所有功能

总结

Hasura GraphQL Engine提供了强大的权限控制能力，但在跨数据源场景下存在特定限制。开发者需要理解这些限制并选择适当的技术方案。对于复杂的跨数据库查询和权限需求，可能需要结合其他技术栈共同实现。