Conas a dhaingníonn tú API GraphQL i gcoinne ceisteanna mí-úsáideacha?

Question

IT Interview Practice · Accepted Answer

Déanann an tsolúbthacht a fhágann GraphQL cumhachtach **dromchla DoS** de freisin: is féidir le cliant ceist a neadú go domhain nó liostaí ollmhóra a iarraidh in aon ghlao amháin. Cosnaíonn tú i sraitheanna — **teorainneacha doimhneachta, anailís castachta/costais, teorannú ráta, agus auth ceart** — nach bhfeidhmíonn an teanga cheistiúcháin aon cheann acu duit.

## An bhagairt: ceisteanna gan teorainn

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Cosaintí

- **Teorannú doimhneachta** — diúltaigh do cheisteanna atá neadaithe thar, abair, 7 leibhéal. Céad líne cosanta saor.
- **Anailís costais/castachta** — sann costas do gach réimse, meáigh réimsí liosta de réir a n-argóint `first`, agus diúltaigh roimh fhorghníomhú má sháraíonn an t-iomlán buiséad. Níos láidre ná an doimhneacht amh mar cuireann sé leithead an liosta san áireamh.
- **Teorannú ráta** — buiséid in aghaidh gach cliaint, go hidéalach ar **chostas ceiste** (ní hamháin líon na n-iarratas), ionas go gcomhairtear ceist chostasach amháin mar go leor.
- **Ceisteanna leanúnacha/ceadliostaithe** — i dtáirgeadh, ná glac ach le sraith réamhchláraithe ceisteanna; diúltaítear do cheisteanna treallacha ad-hoc, rud a dhíchuireann formhór na veicteoirí injection/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

Fíordheimhnigh uair amháin (bailíochtaigh an token in `context`), ansin **údaraigh in aghaidh gach réimse/resolver** — ná bíodh muinín agat as an gcliant réimsí a fhágáil ar lár riamh. Déan seiceálacha i resolvers nó i sraith cosúil le GraphQL Shield, agus **ná nocht an schema introspection** ná loirg cruaiche briathartha i dtáirgeadh riamh.

## Cén fáth a bhfuil sé tábhachtach

Tá críochphointí REST teoranta go nádúrtha; níl ceist GraphQL amháin. Ba mhaith le hagallóirí sinsearacha an dearcadh **bunaithe ar chostas** — tá an doimhneacht riachtanach ach neamhleor, is é anailís castachta móide ceisteanna leanúnacha an fíorfhreagra — agus disciplín an údaraithe in aghaidh gach resolver.

An bhagairt: ceisteanna gan teorainn

Cosaintí

Auth

Cén fáth a bhfuil sé tábhachtach

Ceisteanna gaolmhara