¿Cómo se protege una API GraphQL frente a consultas abusivas?

Question

IT Interview Practice · Accepted Answer

La flexibilidad que hace potente a GraphQL también lo convierte en una **superficie de DoS**: un cliente puede anidar una consulta muy profundamente o pedir listas enormes en una sola llamada. Te defiendes por capas —**límites de profundidad, análisis de complejidad/coste, rate limiting y auth adecuada**— nada de lo cual impone por ti el lenguaje de consulta.

## La amenaza: consultas sin límites

```graphql
# Una consulta cíclica maliciosa: cada nivel multiplica el trabajo exponencialmente
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Defensas

- **Límite de profundidad** — rechaza consultas anidadas más allá de, digamos, 7 niveles. Primera línea de defensa barata.
- **Análisis de coste/complejidad** — asigna un coste a cada campo, pondera los campos de lista por su argumento `first` y rechaza antes de la ejecución si el total supera un presupuesto. Más fuerte que la profundidad en bruto porque tiene en cuenta la amplitud de las listas.
- **Rate limiting** — presupuestos por cliente, idealmente sobre el **coste de la consulta** (no solo el número de peticiones), de modo que una consulta cara cuente como muchas.
- **Consultas persistidas / en allow-list** — en producción, acepta solo un conjunto de consultas preregistradas; se rechazan las consultas ad-hoc arbitrarias, eliminando la mayoría de los vectores de inyección/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // bloquea el anidamiento profundo
    costAnalysis({ maximumCost: 1000 }),            // bloquea consultas amplias/caras antes de ejecutar
  ],
});
```

## Auth

Autentica una vez (valida el token en `context`) y luego **autoriza por campo/resolver**: nunca confíes en que el cliente omitirá campos. Haz las comprobaciones en los resolvers o en una capa como GraphQL Shield, y **nunca expongas el schema de introspection** ni stack traces verbosos en producción.

## Por qué es importante

Los endpoints REST están naturalmente acotados; una sola consulta GraphQL no lo está. Los entrevistadores senior quieren la mentalidad **basada en coste** —la profundidad es necesaria pero insuficiente, el análisis de complejidad más las consultas persistidas es la respuesta real— y la disciplina de la autorización por resolver.

La amenaza: consultas sin límites

Defensas

Auth

Por qué es importante

Preguntas relacionadas