NodeJS - 简化/解决 GraphQL 查询

Question

我目前正在为 AWS AppSync API 编写 Lambda 授权程序，但是授权取决于正在访问的目标资源。 每个资源都有自己的 ACL，列出了允许访问它的用户和条件。

目前我能找到的最好方法是获取调用者的身份，查看所有 ACL，并在拒绝访问所有其他资源的同时授权调用，这不仅效率极低，而且非常不切实际，如果不是不可能的话。

我最初想出的解决方案是获取目标资源，检索 ACL 并检查用户是否符合指定条件。 问题是我无法可靠地定义目标资源是什么。 我从 AWS 得到的是这样的请求：

{
    "authorizationToken": "ExampleAUTHtoken123123123",
    "requestContext": {
        "apiId": "aaaaaa123123123example123",
        "accountId": "111122223333",
        "requestId": "f4081827-1111-4444-5555-5cf4695f339f",
        "queryString": "mutation CreateEvent {...}\n\nquery MyQuery {...}\n",
        "operationName": "MyQuery",
        "variables": {}
    }
}

所以，我只有查询字符串和变量，把实际的解析留给我。 我必须使用graphql-js将它转换为 AST，但它仍然非常冗长，最重要的是，它的结构变化很大。 例如，我检索目标的第一个代码适用于 AppSync 控制台查询，但不适用于 Amplify 前端。 我也不能依赖像变量名这样简单的东西，因为攻击者可以很容易地使用任意名称制作查询，甚至根本不使用变量。

我考虑在 Lambda 解析器中实现此授权逻辑，在某种程度上应该更简单，但需要我使用解析器作为授权者，这似乎并不理想，并在我只想要最微不足道的时候实现整个解析器逻辑解析器。

理想情况下，我想要这样的东西：

/* Schema:
type Query {
    operationName(key: KEY!): responseType
}*/

/* Query:
query abitraryQueryName($var1: KEY!) {
  operationName(key: $var1) {
    field1
    field2
  }
}*/

/* Variables:
{ "var1": "value1" } */

parsedQuery = {
    operation: "operationName",
    params: { "key": "value1" },
    fields: [ "field1", "field2" ]
};

有什么方法可以解决/简化从 GraphQL 到 JSON/类似的查询，从而可以轻松提取此信息？

Answer 1

好吧，在上面找不到任何东西，所以我自己做了一些东西。

如果有人需要类似的东西，这是我使用的代码的要点：https://gist.github.com/Iorpim/6544dad46060522dd0b17477871bc43

我没有把它变成一个合适的完整库，因为它是一个非常具体的用例，它可能是一次性的，我也不确定它有多可靠，但它解决了我的问题！