અપમાનજનક queries સામે GraphQL API ને તમે કેવી રીતે સુરક્ષિત કરો છો?

Question

IT Interview Practice · Accepted Answer

જે flexibility GraphQL ને શક્તિશાળી બનાવે છે તે જ તેને **DoS surface** પણ બનાવે છે: client એક જ call માં query ને ઊંડે nest કરી શકે અથવા વિશાળ lists માગી શકે. તમે layers માં બચાવ કરો છો — **depth limits, complexity/cost analysis, rate limiting, અને યોગ્ય auth** — જેમાંથી કોઈ પણ query language તમારા માટે અમલમાં મૂકતી નથી.

## ધમકી: unbounded queries

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## બચાવ

- **Depth limiting** — say, 7 levels થી વધારે nested queries નકારો. સસ્તી પ્રથમ સંરક્ષણ પંક્તિ.
- **Cost/complexity analysis** — દરેક field ને એક cost આપો, list fields ને તેમના `first` argument પ્રમાણે weight આપો, અને જો total budget કરતાં વધી જાય તો execution પહેલાં નકારો. Raw depth કરતાં મજબૂત કારણ કે તે list breadth ને ધ્યાનમાં લે છે.
- **Rate limiting** — per-client budgets, આદર્શ રીતે **query cost** પર (માત્ર request count નહીં), જેથી એક ખર્ચાળ query અનેક તરીકે ગણાય.
- **Persisted/allow-listed queries** — production માં, ફક્ત pre-registered queries નો set સ્વીકારો; arbitrary ad-hoc queries નકારાય, જે મોટા ભાગના injection/DoS vectors દૂર કરે છે.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

એક વાર authenticate કરો (`context` માં token validate કરો), પછી **per field/resolver authorize** કરો — fields છોડી દેવા માટે ક્યારેય client પર ભરોસો ન કરો. Checks resolvers માં અથવા GraphQL Shield જેવા layer માં કરો, અને production માં **introspection schema** કે verbose stack traces ક્યારેય ખુલ્લા ન કરો.

## આ શા માટે મહત્વનું છે

REST endpoints સ્વાભાવિક રીતે bounded છે; એક જ GraphQL query નથી. Senior interviewers **cost-based** mindset માગે છે — depth જરૂરી છે પણ પૂરતું નથી, complexity analysis ઉપરાંત persisted queries એ સાચો જવાબ છે — અને per-resolver authorization ની શિસ્ત.

ધમકી: unbounded queries

બચાવ

Auth

આ શા માટે મહત્વનું છે

સંબંધિત પ્રશ્નો