GraphQL查询入口需单独设为/graphql端点，用PSR-7请求喂给StandardServer或手写执行逻辑，复用schema单例，POST必须JSON格式且Content-Type正确。
GraphQL 查询入口怎么接进 PHP 项目
PHP 本身不原生支持 GraphQL，得靠库搭桥。主流选 webonyx/graphql-php，它把 schema 定义、解析、执行全包了，不是胶水层，是真正能跑查询的实现。
关键点不是“装上就行”，而是入口要干净：别把 GraphQL 请求混在传统 REST 路由里，单独起一个 /graphql 端点，用 PSR-7 Request/Response（比如用 Slim 或 Laravel 的中间件）喂给 GraphQL\Server\StandardServer 或手写执行逻辑。
- 别直接在控制器里 new Schema + execute —— schema 构建开销大，必须复用单例
- POST 请求体必须是 JSON，
Content-Type: application/json，否则parse_body会丢请求体 - 开发时加
debug: true，但上线前关掉，否则堆栈信息可能泄露字段结构
怎么写一个可被查询的 Type 和 Resolver
GraphQL 的 type 不是数据库模型，也不是 DTO，它是面向前端消费场景定义的视图契约。比如前端要查「用户头像、昵称、最近三条订单」，就该定义 UserWithRecentOrders 类型，而不是硬套 User + Order ORM 实体。
Resolver 函数里最常踩的坑是 N+1：查 10 个用户，每个用户又查一次头像 URL，结果发 11 次 DB 请求。必须用 Promise 或 BatchLoader（webonyx/graphql-php 自带 DataLoader 支持）做批处理。
立即学习“PHP免费学习笔记（深入）”；
-
resolve函数第一个参数是$rootValue（父对象），第二个是$args（查询里的参数），第三个是$context（你传进去的容器，比如DB实例或Auth对象） - 字段返回
null不代表报错，GraphQL 会继续执行其他字段；真要中断得 throwGraphQL\Error\Error - 不要在 resolver 里做权限判断 —— 放到
fieldMiddleware或 context 初始化阶段更清晰
怎么防止恶意查询拖垮服务
GraphQL 查询深度和复杂度完全由客户端控制，一个嵌套 20 层、带 100 个字段的查询，可能让单次请求吃光内存。不能靠“信任前端”来防御。
webonyx/graphql-php 提供 ValidationRule 接口，必须配至少两个规则：
-
MaxQueryDepth：限制最大嵌套层级，建议设为5—— 超过这个深度基本是试探或误用 -
MaxQueryComplexity：按字段预估“权重”，比如user { orders { items } }里items权重设为 10，整条查询超阈值就拒掉 - 还要加请求级限流，比如用 Redis 记录 IP + query hash 的调用频次，防爆破式枚举字段
为什么用 DataLoader 还是慢？检查这三件事
DataLoader 解决的是“同一次请求内”的批处理，不是“跨请求缓存”。如果每次请求都重新 new DataLoader 实例，等于没用。
常见失效场景：
- resolver 返回的是
Promise，但你没在 schema 执行前启用PromiseAdapter，导致异步逻辑被当同步阻塞执行 -
load方法传的 key 类型不一致：比如有时传int用户 ID，有时传string，DataLoader 当成两个不同 key 处理 - batch callback 里没做去重 —— 数据库查询语句没用
IN，还是 for 循环查，只是换了个位置
复杂点往往不在 schema 写法，而在 resolver 的数据获取路径是否真正收敛。哪怕只差一层嵌套没批处理，QPS 上去后延迟就会指数级上涨。
