https://plumephp.com/tags/fieldlevelauthorization/Recent content in FieldLevelAuthorization on PlumePHPHugozh-CNTue, 29 Sep 2026 09:00:00 +0800https://plumephp.com/graphql-authentication-authorization/Tue, 29 Sep 2026 09:00:00 +0800https://plumephp.com/graphql-authentication-authorization/<p>认证（Authentication，你是谁）与授权（Authorization，你能做什么）是每个 GraphQL 服务的第一道安全门。REST 时代我们在路由层按 URL 配权限，但 GraphQL 只有一条路由——权限判断下沉到了 <strong>resolver 层和字段层</strong>。这个差异是 GraphQL 安全设计的地基：没有「按字段授权」的 GraphQL 服务，就像在 REST 里只保护了 <code>/users</code> 却没保护返回的用户列表字段。</p> <p>本文从认证凭证在 GraphQL 中的传递讲起，深入授权模型（RBAC/ABAC）、resolver 层授权、字段级权限、Federation 跨子图授权，最后覆盖 GraphQL 特有的攻击面与授权测试。</p>