如何判读GraphQL授权响应?

判读 GraphQL 授权响应，不能只看请求是否成功，而要看当前身份拿到了哪些数据。同一查询可能同时返回可访问字段的数据和受限字段的错误；HTTP 请求成功，也不代表所有字段都通过了授权。判断依据应是事先明确的角色权限、测试对象归属，以及响应与预期之间的差异。

最可靠的对照方式，是先用有权账号读取其拥有的合成测试对象，确认查询和字段本身有效；再保持查询结构不变，改用无权账号请求同一对象。若无权账号读到了不应访问的对象或敏感字段，就需要核查对象级或字段级授权。若仅看到错误、空值，或响应中没有该字段，则不能立刻认定防护有效：还须排除对象标识错误、查询条件变化等因素，并结合获准查看的服务端日志确认拒绝原因。

响应中的 data 和 errors 应一起读。对嵌套查询尤其如此：父对象可访问，不意味着关联对象及其敏感字段也可访问。记录时应定位到具体对象、字段和角色差异，而不是用“整条查询成功或失败”概括。服务若为避免透露对象是否存在而统一返回空值或通用拒绝结果，也应按既定授权规则和测试数据归属判断，不能仅凭表面响应推测内部处理。

最终结论要限定在证据能够支持的范围内。Schema 中出现某字段，或内省暴露了类型名称，并不等于发生数据越权；反过来，界面未展示字段也不能证明服务端已拦截。保留足以复核的请求与响应片段，移除令牌和无关数据，才能让“谁在什么条件下读到了什么”成为可复测的授权判断。