Wie sicherst du eine GraphQL-API gegen missbräuchliche Abfragen ab?

Question

IT Interview Practice · Accepted Answer

Die Flexibilität, die GraphQL mächtig macht, macht es zugleich zu einer **DoS-Angriffsfläche**: Ein Client kann eine Abfrage tief verschachteln oder riesige Listen in einem Aufruf anfordern. Du verteidigst in Schichten – **Tiefenlimits, Complexity-/Cost-Analyse, Rate Limiting und ordentliche Auth** – von denen die Abfragesprache keine für dich erzwingt.

## Die Bedrohung: unbegrenzte Abfragen

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Verteidigungen

- **Tiefenbegrenzung** – lehne Abfragen ab, die tiefer als etwa 7 Ebenen verschachtelt sind. Günstige erste Verteidigungslinie.
- **Cost-/Complexity-Analyse** – weise jedem Feld Kosten zu, gewichte Listenfelder nach ihrem `first`-Argument und lehne vor der Ausführung ab, wenn die Summe ein Budget übersteigt. Stärker als reine Tiefe, weil sie die Breite von Listen berücksichtigt.
- **Rate Limiting** – Budgets pro Client, idealerweise auf **Query-Kosten** (nicht nur Anzahl der Anfragen), sodass eine teure Abfrage wie viele zählt.
- **Persisted/Allow-listed Queries** – akzeptiere in Produktion nur eine vorregistrierte Menge an Abfragen; beliebige Ad-hoc-Abfragen werden abgelehnt, was die meisten Injection-/DoS-Vektoren eliminiert.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

Authentifiziere einmal (validiere das Token im `context`), dann **autorisiere pro Feld/Resolver** – vertraue niemals darauf, dass der Client Felder weglässt. Führe die Prüfungen in Resolvern oder einer Schicht wie GraphQL Shield durch und **exponiere niemals das Introspection-Schema** oder ausführliche Stacktraces in Produktion.

## Warum es wichtig ist

REST-Endpunkte sind von Natur aus begrenzt; eine einzelne GraphQL-Abfrage ist es nicht. Senior-Interviewer wollen die **kostenbasierte** Denkweise – Tiefe ist notwendig, aber unzureichend, Complexity-Analyse plus Persisted Queries ist die eigentliche Antwort – und die Disziplin der Autorisierung pro Resolver.

Die Bedrohung: unbegrenzte Abfragen

Verteidigungen

Auth

Warum es wichtig ist

Ähnliche Fragen