PHP中GraphQL变量化查询的完整实现指南-php教程-PHP中文网

PHP中GraphQL变量化查询的完整实现指南

本文详解如何在php中通过graphql变量（variables）动态构建安全、可复用的查询，涵盖sdl语法定义、php端变量注入、curl请求封装及多值场景最佳实践。

本文详解如何在php中通过graphql变量（variables）动态构建安全、可复用的查询，涵盖sdl语法定义、php端变量注入、curl请求封装及多值场景最佳实践。

在PHP中调用GraphQL API时，硬编码查询参数（如 eq: 2）不仅难以维护，更存在SQL注入类风险（尽管GraphQL本身不直连数据库，但服务端解析器若未校验输入仍可能引发逻辑漏洞）。真正的工程化实践应采用参数化查询（Variable-based Queries）——即分离查询结构（Query）与运行时数据（Variables），由GraphQL规范原生支持。

✅ 正确的变量化查询写法（SDL语法）

首先，需将原始静态查询重构为带变量声明的GraphQL文档：

query MainProducts($productTypes: [Int!]!) {
  mainProducts(where: { productType: { eq: $productTypes } }) {
    name
    productID
  }
}

关键点解析：

query MainProducts(...)：命名查询，便于调试与缓存识别；
$productTypes: [Int!]!：声明一个必传的非空整数数组变量，[Int!]! 表示“至少含一个非空整数的数组”，既支持单值（如 [2]）也天然兼容多值（如 [1, 2, 5]），避免前端做类型分支判断；
$productTypes 在 where 条件中被直接引用，服务端解析器将自动展开为等效过滤逻辑（如后端Eloquent或Doctrine可映射为 WHERE product_type IN (1,2,5)）。

✅ PHP端变量注入与请求封装

将变量作为独立JSON字段传入，而非拼接进查询字符串，是安全与规范的核心：

<?php // 动态变量：支持单值或数组（统一处理为数组）
$productTypeInput = is_array($input) ? $input : [$input]; // 例：$input = 2 或 [1,3,7]

$query = <<<'GRAPHQL'
query MainProducts($productTypes: [Int!]!) {
  mainProducts(where: { productType: { eq: $productTypes } }) {
    name
    productID
  }
}
GRAPHQL;

$variables = [
    'productTypes' => $productTypeInput
];

// 构建标准GraphQL请求体
$payload = json_encode([
    'query' => $query,
    'variables' => $variables
], JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);

// cURL配置（精简版，生产环境建议使用Guzzle）
$ch = curl_init();
curl_setopt_array($ch, [
    CURLOPT_URL => 'https://api.example.com/graphql',
    CURLOPT_POST => true,
    CURLOPT_POSTFIELDS => $payload,
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_HTTPHEADER => [
        'Content-Type: application/json',
        'Authorization: Bearer ' . MYTOKEN,
    ],
    CURLOPT_TIMEOUT => 30,
]);

$response = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);

if ($httpCode !== 200) {
    throw new RuntimeException("GraphQL request failed: HTTP {$httpCode}");
}

$result = json_decode($response, true);
if (isset($result['errors'])) {
    throw new RuntimeException('GraphQL errors: ' . json_encode($result['errors']));
}

$data = $result['data']['mainProducts'] ?? [];

⚠️ 重要注意事项

btpanel phpsite 宝塔面板PHP网站
宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

绝不字符串拼接变量：禁止使用 str_replace() 或 sprintf() 注入变量到查询字符串中，这会破坏GraphQL AST解析，且丧失类型校验与错误定位能力；

变量类型严格匹配：PHP数组传入后，json_encode() 会正确序列化为JSON数组，服务端GraphQL引擎（如 webonyx/graphql-php）将依据SDL声明自动验证 [Int!]! 是否满足（空数组、null 或非整数元素均触发验证错误）；

批量场景优化：若需循环查询不同 $productTypes，应优先考虑服务端支持 IN 或 OR 的批量能力，而非客户端循环发起N次请求——GraphQL的本意正是单请求聚合多条件。

✅ 进阶：服务端Resolver适配（以 webonyx/graphql-php 为例）

当使用 webonyx/graphql-php 自建服务时，需确保Resolver能正确处理数组参数：

// Schema定义片段（ProductType.php）
'args' => [
    'where' => [
        'type' => GraphQL::inputObjectType([
            'name' => 'ProductWhereInput',
            'fields' => [
                'productType' => [
                    'type' => GraphQL::inputObjectType([
                        'name' => 'ProductTypeFilter',
                        'fields' => [
                            'eq' => ['type' => GraphQL::listOf(GraphQL::nonNull(GraphQL::int()))],
                        ],
                    ]),
                ],
            ],
        ]),
    ],
],
'resolve' => function ($root, $args) {
    $productTypes = $args['where']['productType']['eq'] ?? [];
    // 安全地用于数据库查询（如PDO预处理或ORM whereIn）
    return ProductRepository::findByProductTypes($productTypes);
}