Spring GraphQL 默认仅暴露 /graphql 单一端点，无法通过 spring.graphql.enabled=false 类似配置全局禁用；实际应结合 Web 安全配置拦截请求，并可选禁用内省（introspection）以增强生产环境安全性。
spring graphql 默认仅暴露 `/graphql` 单一端点，无法通过 `spring.graphql.enabled=false` 类似配置全局禁用；实际应结合 web 安全配置拦截请求，并可选禁用内省（introspection）以增强生产环境安全性。
Spring GraphQL 基于 Spring Web（或 WebFlux），其 HTTP 暴露行为由底层 Web 层控制，框架本身并未提供如 spring.graphql.enabled 这样的布尔开关来一键禁用所有 GraphQL 端点。这是因为 GraphQL 的设计哲学强调“单入口、多操作”，整个服务逻辑统一收口于 /graphql（POST）及可选的 GET 查询（如 Playground 支持），而非多个 REST 风格路径。
因此，若需在特定环境（如测试、预发）中彻底禁用 GraphQL 接口，推荐采用 声明式安全拦截 方式，精准阻断对 /graphql 的所有访问：
@Bean
fun securityFilterChain(http: HttpSecurity): SecurityFilterChain {
http
.authorizeHttpRequests { auth ->
// 显式拒绝所有对 /graphql 的访问（可根据 profile 动态启用/禁用）
auth.requestMatchers("/graphql", "/graphql/**")
.denyAll() // 或 .authenticated().hasRole("ADMIN") 实现受控访问
// 其他路径保持原有策略
auth.anyRequest().permitAll()
}
return http.build()
}// Java 版本示例
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http.authorizeHttpRequests(auth -> auth
.requestMatchers("/graphql", "/graphql/**").denyAll()
.anyRequest().permitAll()
);
return http.build();
}✅ 注意事项：
- denyAll() 会返回 HTTP 403；若需更明确的响应（如 404），可配合自定义 HandlerMapping 或 @ControllerAdvice 拦截；
- 生产环境中，更推荐保留端点但禁用 introspection（内省查询），防止攻击者自动探测 Schema 结构。可通过 RuntimeWiringConfigurer 实现：
@Bean
fun wiring(): RuntimeWiringConfigurer {
return RuntimeWiringConfigurer { builder ->
builder.fieldVisibility(NoIntrospectionGraphqlFieldVisibility.NO_INTROSPECTION_FIELD_VISIBILITY)
}
}该配置将使 __schema、__type 等内省字段在运行时不可见，GraphQL Playground 和大多数客户端工具将无法自动生成文档，显著降低信息泄露风险。
总结：Spring GraphQL 不支持“一键关闭”端点的配置项，但通过 Spring Security 精准拦截 /graphql 路径，辅以禁用 introspection，即可在开发、测试、生产等不同阶段灵活管控 GraphQL 接口的可用性与安全性。
