如何保护中继中的查询节点（id：ID！）？

Question

我是 Relay 和 GraphQL 的新手，无法找到答案。如果我必须为实现 Node 接口（根据 Relay 规范）的每个对象提供唯一 ID，那么如何保护数据不泄露。是什么阻止了拥有此类 ID 的人获取他应该无法获取的数据。

客户端：React + Relay
服务器：MongoDB + Prisma + GraphQL-Yoga

假设我们有

type PrivateStuff implements Node {
  id : ID!
  secretData : String!
}

如果有人暴力破解这个 id 或从用户那里窃取它怎么办

query{
  node(id : "PrivateStuffId") {
    id
    secretData
  }
}

有什么方法可以保护这些数据？

更新：可以通过编码id 来提高安全性，然后再将其提供给客户端并根据请求进行解码。但如果编码的 id 泄露，它不会保护数据

更新：在正文中带有 id 的 JWT 可能是一个选项。但是很难确定令牌应该存在多长时间。

Answer 1

无意中发现了这个tutorial。长话短说，客户端在标头中提供身份验证信息，服务器使用中间件来处理这些数据。请求头可以通过context.request访问。