如何在Python中使用Django与GraphQL搭建现代API服务？-Python教程-PHP中文网

直接选 strawberry。它原生支持 Python 类型注解，避免 graphene-django 因 DjangoObjectType 隐式暴露敏感字段或引发 N+1 查询；需手动控制 select_related/prefetch_related、绕过 CSRF 冲突、生产环境用白名单 IP 或 CLI 调试，且请求头需显式读取。

如何在python中使用django与graphql搭建现代api服务？

GraphQL在Django里用`graphene-django`还是`strawberry`？

直接选 strawberry。它原生支持 Python 类型注解，不依赖 Django 模型自动推导 schema，避免隐式行为导致的字段漏定义或权限失控；graphene-django 的 DjangoObjectType 会把模型所有字段（包括 _state、id、created_at 等）全暴露，除非显式重写 Meta，否则极易泄露敏感字段或触发 N+1 查询。

实操建议：

用 strawberry.django.views.GraphQLView 替代 graphene_django.views.GraphQLView
所有 resolver 必须显式标注返回类型，例如 def resolve_user(self, info, id: strawberry.ID) -> UserNode:
禁止在 __init__.py 或 schema.py 中 import 模型后直接传给 @strawberry.django.type —— 这会导致启动时加载全部模型，拖慢热重载

怎么让 GraphQL 查询真正复用 Django ORM 的 `select_related` 和 `prefetch_related`？

Strawberry 不自动优化查询，必须手动在 resolver 中控制。常见错误是直接返回 User.objects.get(id=id)，结果每个嵌套字段（如 user.profile.avatar）都触发新查询。

正确做法：

在 resolver 中用 info.context.request 获取当前请求上下文，判断是否需要预加载
对一对一关系用 select_related('profile')，一对多用 prefetch_related('posts')
用 strawberry.field 的 permission_classes 参数配合 has_permission 方法提前过滤，避免查出再丢弃

示例：

def resolve_posts(self, info) -> List[PostNode]:
    return self.posts.select_related('author').prefetch_related('tags')

Django Admin 和 GraphQL 共存时，如何避免 CSRF 和认证逻辑冲突？

GraphQL endpoint 默认走 /graphql/，而 Django Admin 走 /admin/，但两者共享 session 和中间件。常见错误是启用 django.middleware.csrf.CsrfViewMiddleware 后，GraphQL POST 请求被拦截，返回 403 Forbidden。

python学习

Python 编程学习助手 skill，面向零基础用户。当用户表达以下意图时触发： - 学习 Python 基础概念（变量、数据类型、循环、函数、类等） - 请求 Python 练习题或测验 - 请求审查或调试 Python 代码 - 请求 Python 项目实战指导（爬虫、数据分析、Web 开发等入门项目） - 泛化表述如"教我 Python""我想学编程""Python 怎么写""帮我学 Python" 此 skill

下载

解决方案：

把 GraphQLView 单独挂载到一个不经过 CSRF 中间件的路径，比如用 as_view(csrf_protect=False)
改用 token 认证：在 settings.py 中配置 GRAPHENE = {"MIDDLEWARE": [...]} 并集成 django-graphql-jwt，用 Authorization: JWT <token></token> 替代 session
若必须用 session，需在前端 fetch 时显式携带 credentials: 'include'，并确保 CSRF_COOKIE_SAMESITE = 'Lax'（不能是 Strict）

部署时 `DEBUG=False` 下 GraphQL Playground 消失，怎么调试？

Strawberry 默认只在 DEBUG=True 时启用 GraphiQL/Playground。生产环境禁用是安全设计，但不代表无法调试 —— 关键是别为了看界面而开 DEBUG=True，那会暴露敏感设置和完整 traceback。

替代方案：

用 strawberry.graphql 命令行工具本地验证 schema：strawberry server myapp.schema:schema --debug

在视图中加白名单 IP 判断，仅对内网 IP 开放 Playground：

class CustomGraphQLView(GraphQLView):
    def should_render_graphiql(self, request):
        return request.META.get("REMOTE_ADDR") in ["127.0.0.1", "10.0.0.0/8"]

用 curl -X POST -H "Content-Type: application/json" -d '{"query":"{ users { id }"}' http://localhost:8000/graphql/ 手动测接口，比图形界面更贴近真实调用链

最常被忽略的一点：GraphiQL 的 “Headers” 面板里填的 Authorization 不会自动带进实际请求头，必须在 resolver 里用 info.context.request.headers.get("Authorization") 显式读取 —— 很多人卡在这一步，以为 token 没传过去。