Tengo una API GraphQL (TypeScript, Express, apollo-server), que está siendo consumida por una aplicación cliente. Todas las solicitudes requieren autenticación mediante la validación del token JWT de esta manera:
return new ApolloServer({ schema, plugins: [ApolloServerPluginDrainHttpServer({ httpServer })], context: async ({ req }) => { const user = await validateJWT(ctx, req) return { ...ctx, user } }, }) (Ignore ctx , es un detalle específico de la implementación).
Mi problema aquí es que necesito permitir que una consulta específica no se autentique. Durante la incorporación, el cliente obtiene datos incluso antes de que se cree el usuario.
type Query { onboardingData(profile: ProfileInput!): OnboardingData! ... }¿Cuál es la forma adecuada de omitir la autenticación para una consulta en particular?
He mirado en el uso
import { parse, print } from 'graphql' para obtener la consulta de req.body.query y luego hacer coincidencias de cadenas, pero eso se siente tonto, por decir lo menos. Mis sentidos arácnidos están hormigueando porque es propenso a errores, confusión y vulnerabilidades potenciales.
En un mundo REST, solo especificaría una ruta particular para ser excluida.
Puede obtener su contexto para devolver la función que obtiene a su usuario, en lugar de obtener al usuario en el nivel de contexto y devolverlo a los resolutores. Envuelva su cuerpo de contexto en una función y devuelva la función. Luego, en sus resolutores que requieren autenticación y/o el usuario actual, simplemente lo llama, de forma similar a como lo llama en el cuerpo del contexto.
Ejemplo:
const user = await validateJWT()O mejor llamado:
const user = await getCurrentUser()Este enfoque le brinda flexibilidad para llamarlo solo en resolutores que requieren autenticación.