Flexibilita, která dělá GraphQL mocným, z něj zároveň dělá DoS plochu: klient může dotaz hluboko zanořit nebo si v jednom volání vyžádat obrovské seznamy. Bráníte se ve vrstvách — limity hloubky, analýza složitosti/nákladů, rate limiting a řádná autentizace — nic z toho za vás dotazovací jazyk nevynucuje.
Bomb
user friends friends friends friends name
first a před exekucí odmítni, pokud součet překročí rozpočet. Silnější než holá hloubka, protože zohledňuje šířku seznamů.import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";
const server = new ApolloServer({
schema,
validationRules: [
depthLimit(7), // blokuj hluboké zanoření
costAnalysis({ maximumCost: 1000 }), // blokuj široké/drahé dotazy před exekucí
],
});
Autentizujte jednou (ověřte token v context), poté autorizujte na úrovni pole/resolveru — nikdy nevěřte klientovi, že pole vynechá. Kontroly dělejte v resolverech nebo ve vrstvě jako GraphQL Shield a nikdy v produkci nevystavujte introspekční schéma ani rozvláčné stack traces.
REST endpointy jsou přirozeně ohraničené; jediný GraphQL dotaz není. Senior tazatelé chtějí nákladově orientované myšlení — hloubka je nutná, ale nedostatečná, analýza složitosti plus persisted queries jsou skutečná odpověď — a disciplínu autorizace na úrovni resolveru.
Knihovna IT otázek k pohovoru s podrobnými odpověďmi — od Junior po Senior.
Přispět