Разработка GraphQL-резолверов: оптимизация, авторизация, тесты

Представьте: ваш API обрабатывает запрос списка статей. Каждая статья подгружает автора и комментарии. Без батчинга это превращается в (1 запрос для списка + N запросов для авторов + M запросов для комментариев). При N=100 и M=50 получаем 151 запрос вместо 3. DataLoader сокращает это до 3 запросов — экономия времени в 10 раз. При высокой нагрузке экономия на инфраструктуре может быть существенной. В одном из проектов с медиа-платформой мы сократили время ответа с 4 секунд до 200 мс, применив DataLoader и пагинацию.

Мы сталкивались с проектами, где из-за наивной реализации резолверов время ответа API падало до 10 секунд. Каждый запрос пользователя генерировал десятки SQL-запросов — проблема N+1 в действии. Авторизация на уровне полей отсутствовала, что приводило к утечке данных. Рассказываем, как это исправить: используем DataLoader, контекстную авторизацию и тесты. Наш опыт — 5 лет, более 50 проектов на GraphQL, включая высоконагруженные системы.

Почему оптимизация N+1 критична?

Проблема N+1 — главный враг производительности GraphQL. Когда резолвер для списка объектов вызывает для каждого элемента отдельный запрос к БД, это приводит к экспоненциальному росту времени ответа. DataLoader решает проблему, но требует правильной интеграции.

DataLoader лучше наивного подхода в 10-50 раз по времени ответа в зависимости от глубины вложенности. Применение DataLoader в связке с пагинацией даёт ещё больший эффект на высоконагруженных проектах.

Как DataLoader решает проблему N+1?

DataLoader — это утилита для батчинга и кеширования запросов. Он группирует множественные обращения к БД в один запрос, что значительно снижает нагрузку. Важно создавать экземпляр DataLoader на каждый запрос, чтобы избежать кросс-пользовательского кеша. DataLoader is a generic utility to be used as part of your application's data fetching layer to provide a simplified and consistent API over various backends and reduce requests to those backends via batching and caching. Подробнее о DataLoader на странице проекта.

const resolvers = {
  Query: {
    user: async (parent, { id }, context) => {
      if (!context.user) throw new AuthenticationError('Not authenticated');
      return context.db.users.findById(id);
    },
    posts: async (parent, { limit, offset }, context) => {
      return context.db.posts.findAll({ limit, offset });
    }
  },
  User: {
    posts: async (parent, args, context) => {
      return context.loaders.postsByUserId.load(parent.id);
    }
  },
  Post: {
    author: async (parent, args, context) => {
      return context.loaders.userById.load(parent.id);
    },
    comments: async (parent, args, context) => {
      return context.loaders.commentsByPostId.load(parent.id);
    }
  }
};

Почему важно создавать DataLoader на каждый запрос?

Использование одного экземпляра DataLoader для всех пользователей может привести к утечке данных: кеш одного пользователя может быть отдан другому. Поэтому мы создаём новый DataLoader в контексте каждого запроса, гарантируя изоляцию.

Контекст и Dependency Injection

Контекст запроса формируется на каждом запросе: аутентификация, создание DataLoader, передача БД.

import { ApolloServer } from '@apollo/server';
import { DataloaderRegistry } from './dataloaders';

const server = new ApolloServer({ typeDefs, resolvers });

app.use('/graphql', expressMiddleware(server, {
  context: async ({ req }) => {
    const token = req.headers.authorization?.replace('Bearer ', '');
    const user = token ? await verifyToken(token) : null;
    const loaders = new DataloaderRegistry(db);
    return { user, db, loaders, req };
  }
}));

Авторизация на уровне полей

Проверка прав доступа в каждом резолвере через вспомогательные функции.

function requireAuth(context) {
  if (!context.user) {
    throw new GraphQLError('Not authenticated', {
      extensions: { code: 'UNAUTHENTICATED' }
    });
  }
}

function requireRole(context, role) {
  requireAuth(context);
  if (!context.user.roles.includes(role)) {
    throw new GraphQLError('Forbidden', {
      extensions: { code: 'FORBIDDEN' }
    });
  }
}

// Использование в мутации
const resolvers = {
  Mutation: {
    deletePost: async (parent, { id }, context) => {
      requireAuth(context);
      const post = await context.db.posts.findById(id);
      if (!post) throw new UserInputError('Post not found');
      if (post.author_id !== context.user.id && !context.user.roles.includes('admin')) {
        throw new GraphQLError('Cannot delete others\' posts', {
          extensions: { code: 'FORBIDDEN' }
        });
      }
      await context.db.posts.delete(id);
      return { success: true };
    }
  }
};

Как тестировать резолверы?

Тесты защищают от регрессий при изменениях схемы и бизнес-логики. Мы покрываем каждый резолвер unit-тестами, изолируя БД и DataLoader с помощью моков. Добавляем интеграционные тесты для проверки совместной работы резолверов.

describe('Post resolvers', () => {
  const mockDb = {
    posts: {
      findById: jest.fn(),
      delete: jest.fn()
    }
  };

  const mockContext = (overrides = {}) => ({
    user: { id: '1', roles: ['user'] },
    db: mockDb,
    loaders: {
      userById: {
        load: jest.fn()
      }
    },
    ...overrides
  });

  it('deletePost: owner can delete', async () => {
    mockDb.posts.findById.mockResolvedValue({ id: '1', author_id: '1' });
    mockDb.posts.delete.mockResolvedValue(true);

    const result = await resolvers.Mutation.deletePost(null, { id: '1' }, mockContext());

    expect(result).toEqual({ success: true });
  });

  it('deletePost: non-owner gets FORBIDDEN', async () => {
    mockDb.posts.findById.mockResolvedValue({ id: '1', author_id: '99' });

    await expect(
      resolvers.Mutation.deletePost(null, { id: '1' }, mockContext())
    ).rejects.toMatchObject({ extensions: { code: 'FORBIDDEN' } });
  });
});

Почему обработка ошибок важна?

Ошибки должны быть информативными, но не раскрывать детали БД в продакшене. Apollo Server позволяет настроить форматирование ошибок через formatError.

import { GraphQLError } from 'graphql';
import { ApolloServerErrorCode } from '@apollo/server/errors';

const resolvers = {
  Mutation: {
    createPost: async (parent, { input }, context) => {
      requireAuth(context);
      if (!input.title?.trim()) {
        throw new GraphQLError('Title is required', {
          extensions: {
            code: ApolloServerErrorCode.BAD_USER_INPUT
          }
        });
      }
      try {
        return await context.db.posts.create({
          ...input,
          author_id: context.user.id
        });
      } catch (err) {
        console.error('DB error:', err);
        throw new GraphQLError('Internal server error', {
          extensions: {
            code: 'INTERNAL_SERVER_ERROR'
          }
        });
      }
    }
  }
};

// Форматирование в продакшене
const server = new ApolloServer({
  typeDefs,
  resolvers,
  formatError: (formattedError, error) => {
    if (process.env.NODE_ENV === 'production' && formattedError.extensions?.code === 'INTERNAL_SERVER_ERROR') {
      return { message: 'Internal server error' };
    }
    return formattedError;
  }
});

Процесс работы

1. Анализ схемы GraphQL — выявляем типы, отношения, узкие места.
2. Проектирование резолверов с учётом гранулярности доступа.
3. Реализация с DataLoader, авторизацией и обработкой ошибок.
4. Покрытие тестами (unit + интеграционные).
5. Документирование и деплой с CI/CD.

Что входит в работу

• Исходный код резолверов с тестами (Jest).
• Документация API (GraphQL SDL + README).
• Настройка CI/CD (GitHub Actions, Docker).
• Обучение команды работе с резолверами.

Сроки и стоимость

Срок разработки — от 2 до 5 рабочих дней в зависимости от сложности схемы. Стоимость рассчитывается индивидуально. Получите консультацию инженера — мы проанализируем вашу схему GraphQL и предложим оптимальное решение. Закажите аудит ваших резолверов — это займёт не более часа. Свяжитесь с нами для оценки вашего проекта.