Appsync 对多表突变的细粒度控制

Question

我有以下模式，事件的作者可以在其中记录事件。只有事件的作者才能创建注释。我将author 存储在事件中。但是，我发现其他用户可以通过简单地传递另一个用户事件的 eventId 来为他们未创作的事件创建注释，如下所示：

mutation {
  noteOnEvent(input: { eventId: "***", content: "A comment"}) {
    eventId
    content
  }
}

如何防止这种情况发生？我看不到在 noteOnEvent 解析器中访问 EventTable 作者的方法

架构

type Note {
    eventId: ID!
    notetId: ID!
    content: String
    author: String

}

input CreateNoteInput {
    eventId: ID!
    noteId: String!
    content: String
}

type Event {
    id: ID!
    name: String
    author: String 
    notes: [Note]
}

Answer 1

您可以使用嵌套解析器完成此操作。

如果你稍微修改你的架构，你可以像这样完成它：

type EventCheckedNote {
  // Add a resolver on note which creates the note. The event will be available as $cxt.source, and you can make an authZ check before making the mutation.
  note: Note
}

type Mutation {
  // Add a resolver on noteOnEvent which queries the Event table.
  noteOnEvent(input: CreateNoteInput!): EventCheckedNote
}

这里是使用嵌套解析器执行涉及多个数据源的授权检查的教程：https://hackernoon.com/graphql-authorization-with-multiple-data-sources-using-aws-appsync-dfae2e350bf2