Предотвращение эксплойта утечки данных отношений с помощью graphql

При использовании Prisma вы можете изменить структуры данных, которые доступны вашим клиентским приложениям, переопределив тип в схема приложения.

Определения SDL, которые вы показываете в своем вопросе, мне кажутся Модель данных Prisma. Я предполагаю, что у вас также есть сервер API (возможно, реализованный с помощью graphl-yoga или apollo-server), который предоставляет API GraphQL, который будет использоваться вашими клиентскими приложениями. Назовем схему GraphQL, определяющую этот API, схема приложения. Внутри схемы приложения вы можете переопределить типов из вашей модели данных так, как вы хотите предоставить их своим клиентам.

Вот простой пример:

Предположим, у вас есть следующий тип User в вашей модели данных Prisma:

type User {
  id: ID! @unique
  email: String! @unique
  password: String!
  name: String!
  posts: [Post!]!
}

Теперь вы не хотите показывать password своим клиентам. Итак, что вы можете сделать, так это переопределить тип User таким образом, чтобы ваши клиенты могли получить к нему доступ. Вот как вы можете определить его в схеме приложения (часто называемой schema.graphql):

type User {
  id: ID!
  email: String!
  name: String!
  posts: [Post!]!
}

Вы можете найти работающую версию этого примера здесь. Кроме того, если вас смущает терминология схемы приложения и модели данных, я рекомендую вам прочитать часть это документации Prisma.

С помощью @xadm. Мне удалось собрать решение, которое идеально мне подошло.

Прочитав эту статью о том, как выполнение запроса работает. Я понял, как писать преобразователи полей. Преобразователь полей позволяет мне определять, как именно разрешается конкретное поле. Я сделал преобразователь полей для Board: boardUserRoles.

Вот мой преобразователь поля.

Board: {
    boardUserRoles: async (parent: Board, args, ctx, info) => {
        // getting user id from header.
        const userId: string = VerificationHelper.getUserId(ctx);

        // Verifying role of user.
        return VerificationHelper.verifyRole(userId, ["ADMIN"], ctx).pipe(
            map(
                (result: boolean) => {
                    // If the user has an admin role, show the roles
                    if (result) {
                        return parent.boardUserRoles;
                    // If not, map the results to undefined
                    } else {
                        return undefined;
                    }
                }
            )
        ).toPromise();
    }
}

Затем я добавил этот преобразователь в свой список преобразователей при создании graphql.

const server: GraphQLServer = new GraphQLServer({
    typeDefs: "src/schema.graphql",
    resolvers: {
        Query: QueryResolvers,
        Mutation: MutationResolvers,
        Subscription: SubscriptionResolvers,
        ...FieldResolvers, // A file that contains all my field resolvers.
        AuthPayload
    },
    context: (req: any) => ({
        ...req,
        prisma: new Prisma({
            typeDefs: "src/generated/prisma.graphql",
            endpoint: endpoint()
        })
    })
});

Это очень простой преобразователь полей. Он проверяет роль пользователя и определяет, следует ли скрывать данные или отображать данные. Я просмотрел всю свою схему и нашел другие эксплойты данных. Я исправил те, которые нашел с помощью преобразователей полей, и теперь все работает отлично.

Спасибо за помощь @xadm, ваши ссылки указали мне в правильном направлении.