AWS Amplify GraphQL 按动态 Cognito 用户组过滤

Question

鉴于以下 AWS Amplify GraphQL 架构 (schema.graphql)：

type Organization
  @model
  @auth(rules: [
    { allow: groups, groups: ["Full-Access-Admin"], mutations: [create, update, delete], queries: [list, get] },
    { allow: owner },
    { allow: groups, groupsField: "orgAdminsCognitoGroup", mutations: null, queries: [list, get] }
  ]) {
    id: ID!
    name: String!
    address: String!
    industry: [String]!
    owner: String
    orgAdminsCognitoGroup: String
  }

我可以通过以下方式过滤掉除属于当前已验证用户的组织之外的所有组织：

        res = await API.graphql(graphqlOperation(listOrganizations, {
            // todo: filter by owner OR by is org admin
            filter: {
                owner: {
                    eq: this.props.currentUser.username
                }
            }
        }));

但是无论如何也可以通过orgAdminsCognitGroup 进行过滤，这是 Cognito 中属于该组织的一个动态组？尝试使用额外的@model 来帮助使用@auth 规则来保护每个实体，我没有发现任何成功。

Answer 1

所以，问题是要过滤用户是所有者或在“orgAdminsCognitoGroup”中的组？

我认为这是可能的，但我认为最好的方法并不是您的想法。相反，我可能会建议您设置一个响应映射模板，为您执行一些服务器端过滤。

具体来说，您将首先从当前用户的身份验证令牌中获取组：

#set($claimPermissions = $ctx.identity.claims.get("cognito:groups"))

然后您可以遍历结果中的每个组织。如果任何人的所有者是当前用户，请将其添加到响应列表中。如果不是，请继续检查 orgAdminsCognitoGroup。您可以通过检查 $claimPermissions 是否包含 orgAdmin 为该组织设置的组来做到这一点。如果包含，请将其添加到响应列表中。如果不是，请忽略它并继续迭代。

理论上，可以使用用户登录的令牌来执行此客户端。与响应映射模板的做法非常相似，用户所在的组位于令牌内。如果你打开它并拉出组，你可以在那里应用过滤。出于安全原因，我建议不要这样做，尽管这是可能的。