Блог

У меня есть тип GraphQL, который я хочу защитить:

 type Tender @model(subscriptions: null) {  # ... }   

Я хочу, чтобы он мог быть создан только пользователями группы paid (группой пользователей, у которых есть подписка). Я добавил следующие правила аутентификации:

 type Tender  @model(subscriptions: null)  @auth(  rules: [  { allow: owner, operations: [read, update, delete] }  { allow: groups, groups: ["paid"], operations: [create] }  ]  ) { # ... }  

По моей логике, владелец может read update , и delete объект. Но не create это. Для его создания требуется группа paid .

Однако это не работает. Как аутентифицированный пользователь, я все еще могу создать объект.

Что я упускаю?