Hasuraで遊んでみる ~その2~

#Hasura

森亮介

2021.09.27

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Hi there,

前回の記事の続きです。

テーブル操作の権限をつける

特定の条件に基づいてテーブルのクエリを制限することが可能となっています。

特定のユーザーにはアイテムを追加できないようにするとか、削除できないようにする　などですね。

今回はitemsテーブルで試してみます。

itemsテーブルの中のPermissionsタブをクリックし、Roleを追加していくことで権限の設定ができるようになります。

例えば、group1 の roleならば特定のカテゴリの追加しかできない　権限をつけるならば、

insert権限の編集（鉛筆）アイコンをクリックします。すると、下のセクションが開き、カスタムチェックを構成して列を許可できます。

custom checkの箇所に {"category_id":{"_eq":"１"}} と入力します。
Column insert permissionsの箇所で published,price,name,createdAt,updatedAt を選択します
Column presetsの箇所にcategory_id , static, 1 と入力します。

最後にSave Permissionsをクリックして設定完了です。

参照や更新も条件をつけたいのであれば同じように設定していきましょう。

認証によるHasura GraphQLエンジンの保護

商品の登録や削除などをするアプリを想定した場合、認証は必須になります。

Hasura GraphQLエンジンを保護するために、今回はauth0を使用してみます。

基本的な考え方は、ユーザーが Auth0 で認証すると、クライアントアプリがトークンを受け取り、そのトークンを GraphQL リクエストの Authorization ヘッダーに含んで送信されます。Hasura GraphQL エンジンは、トークンが有効かどうかを確認し、ユーザーが適切なクエリを実行できるようにします。

Auth0にアプリケーションを作成

Auth0にログインし、アプリケーションを作成します。WebアプリだったりSPAだったりは考えているフロントエンドアプリによって変わります。

作成に関しては以下を参照しましょう。

JWT claimのカスタマイズ

Hasuraに呼び出し元の役割を通知するためにカスタムする必要があります。

Auth0ではRulesかActionsを使って認証フローをカスタマイズすることが可能です。

今回はActionsを使ってみます。

呼び出し元が実行できることと実行できないことをHasuraに伝えるためにclaimを追加します。

せっかくなので先ほどつけた権限(group1)で実行するようにしていきましょう。

以下のコードをカスタムアクションに追加し、デプロイします。

exports.onExecutePostLogin = async (event, api) => {
  if(event.client.client_id !== "<<作成したアプリケーションのclient id>>") {
    return;
  }

  const namespace = 'https://hasura.io/jwt/claims"';
  if (event.authorization) {
    const claims = {
      'x-hasura-default-role': 'group1',
      'x-hasura-allowed-roles': ['group1','group2','group3'],
      'x-hasura-user-id': event.user.user_id
    }
    api.idToken.setCustomClaim(namespace, claims);
  }
};