Spring GraphQL 默认仅暴露 /graphql 单一端点，无法通过 spring.graphql.enabled=false 等开关全局禁用；实际需结合 Web 安全配置拦截请求，或通过移除 GraphQL HTTP 处理器实现彻底禁用。
spring graphql 默认仅暴露 `/graphql` 单一端点，无法通过 `spring.graphql.enabled=false` 等开关全局禁用；实际需结合 web 安全配置拦截请求，或通过移除 graphql http 处理器实现彻底禁用。
Spring GraphQL（基于 spring-graphql 3.x）并未提供类似 spring.graphql.enabled 的布尔配置项来一键禁用全部 GraphQL 功能。这是因为其设计哲学强调“显式启用”而非“可选禁用”——只要相关 Bean（如 GraphQlHttpHandler）被注册，/graphql 端点即自动生效。因此，真正的禁用需从两个层面入手：运行时访问控制（推荐用于测试/灰度环境）与启动时组件移除（推荐用于生产中完全关闭 GraphQL）。
✅ 方案一：通过 Spring Security 拦截所有 GraphQL 请求（快速生效）
这是最常用、最安全的临时禁用方式。你无需修改业务逻辑，只需在 SecurityFilterChain 中拒绝所有对 /graphql 的访问：
@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(auth -> auth
.requestMatchers(HttpMethod.POST, "/graphql").denyAll() // 禁止执行查询
.requestMatchers(HttpMethod.GET, "/graphql", "/graphql/**").denyAll() // 禁止 GET 探测及 Playground
.anyRequest().permitAll()
);
return http.build();
}
⚠️ 注意：denyAll() 比 authenticated() 更彻底；若使用 permitAll() 则等同于未禁用。该方式保留 GraphQL 基础设施，仅阻断 HTTP 入口，适合需要动态启停的场景。
✅ 方案二：彻底移除 GraphQL HTTP 处理器（完全禁用）
若项目中已明确不再使用 GraphQL，可通过 条件化排除 GraphQlWebMvcAutoConfiguration（WebMvc 场景）或 GraphQlWebFluxAutoConfiguration（WebFlux 场景），从根本上阻止 /graphql 端点注册：
▪ Maven 中临时排除（构建期控制）
<dependency><groupid>org.springframework.graphql</groupid><artifactid>spring-graphql</artifactid><!-- 生产环境完全不引入 --><optional>true</optional></dependency>
▪ 启动类中排除自动配置（推荐）
@SpringBootApplication(
exclude = {
GraphQlWebMvcAutoConfiguration.class, // Spring MVC 项目
// GraphQlWebFluxAutoConfiguration.class // WebFlux 项目
}
)
public class Application {
public static void main(String[] args) {
SpringApplication.run(Application.class, args);
}
}
✅ 效果：应用启动后 curl -X POST http://localhost:8080/graphql 将返回 404 Not Found，且无任何 GraphQL 相关日志或 Bean 注册。
? 补充：禁用 Introspection（非禁用端点，但提升安全性）
即使保留 GraphQL 端点，也强烈建议在生产环境禁用 introspection 查询，防止攻击者获取完整 Schema 信息：
@Bean
RuntimeWiringConfigurer wiringConfigurer() {
return builder -> builder
.fieldVisibility(NoIntrospectionGraphqlFieldVisibility.NO_INTROSPECTION_FIELD_VISIBILITY);
}
此配置不影响 /graphql 可用性，仅使 { __schema { types } } 类查询返回空响应，是生产部署的必备实践。
? 总结
| 目标 | 推荐方式 | 是否影响 Bean | 是否可动态切换 |
|---|---|---|---|
| 快速临时禁用（如 UAT 环境） | Spring Security denyAll() 拦截 /graphql | ❌ 否 | ✅ 是（改配置+重启） |
| 彻底禁用（生产无 GraphQL 需求） | @SpringBootApplication(exclude=...) | ✅ 是 | ❌ 否（需重新编译） |
| 提升安全性（必做） | NoIntrospectionGraphqlFieldVisibility | ❌ 否 | ✅ 是 |
选择方案前，请确认团队是否仍需 GraphQL 支持（如前端调试、内部工具）。若答案为否，优先采用 exclude 方式——简洁、可靠、无副作用。
