承認に基づいてデータフィールドとロジックを分割する方法は？

Question

たとえば、postsエンドポイント、postはtitle,description,statusです。投稿をユーザーに表示するときは、postフィールドをtitleとdescriptionに制限します。しかし、postを管理者に表示すると、私はpostのすべてのフィールドを送信したいので、どうやってそれを吐き出すのですか？ titleとdescriptionという2つのポストモデルを作成することができます。すべてのフィールドを含む管理者は、ユーザーの役割を見て、どのモデルを選択するかを決めます。または、ロールを見てロールごとにデータをカットする、すべてのモデルとロールでルールを作成します。私はgraphqlを使用し、必要なフィールドのみを取り出すことができますが、ユーザーは要求を変更してすべてのデータを取得できるため、セキュリティではありません。どのようにこの問題を解決する？

ありがとうございました！

Answer 1

2つのモデルは作成しませんが、サーバー側のユーザーのアクセスはtitleとdescriptionに限定します。

クライアント側では、ユーザーがadminの場合にのみ、さらにstatusを要求します。 を参照してください（fragmentsを参照してください）。

誰かが管理者または通常のユーザーであるかどうかを確認する必要があります。そうしないと、変更されたリクエストからユーザーを保護できません。