GraphQL API को abusive queries के विरुद्ध कैसे सुरक्षित करते हैं?

Question

IT Interview Practice · Accepted Answer

वही लचीलापन जो GraphQL को शक्तिशाली बनाता है, उसे एक **DoS surface** भी बना देता है: एक client एक ही call में किसी query को गहराई से nest कर सकता है या विशाल lists मांग सकता है। आप layers में बचाव करते हैं — **depth limits, complexity/cost analysis, rate limiting, और उचित auth** — जिनमें से कोई भी query language आपके लिए स्वयं लागू नहीं करती।

## खतरा: unbounded queries

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## बचाव

- **Depth limiting** — मान लीजिए 7 स्तरों से अधिक nested queries को अस्वीकार करें। यह बचाव की सस्ती पहली पंक्ति है।
- **Cost/complexity analysis** — हर field को एक cost दें, list fields को उनके `first` argument के अनुसार weight करें, और यदि कुल राशि एक budget से अधिक हो जाए तो execution से पहले अस्वीकार कर दें। यह raw depth से अधिक मज़बूत है क्योंकि यह list की चौड़ाई को ध्यान में रखता है।
- **Rate limiting** — प्रति-client budgets, आदर्श रूप से **query cost** पर (केवल request count पर नहीं), ताकि एक महँगी query कई के बराबर गिने।
- **Persisted/allow-listed queries** — production में, केवल पूर्व-registered queries के एक set को स्वीकार करें; मनमानी ad-hoc queries अस्वीकार कर दी जाती हैं, जिससे अधिकांश injection/DoS vectors समाप्त हो जाते हैं।

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

एक बार authenticate करें (`context` में token validate करें), फिर **प्रति field/resolver authorize करें** — कभी client पर भरोसा न करें कि वह fields छोड़ देगा। जाँचें resolvers में करें या GraphQL Shield जैसी किसी layer में, और production में **कभी भी introspection schema या verbose stack traces एक्सपोज़ न करें**।

## यह क्यों महत्वपूर्ण है

REST endpoints स्वाभाविक रूप से bounded होते हैं; एक अकेली GraphQL query नहीं होती। Senior interviewer **cost-based** मानसिकता चाहते हैं — depth आवश्यक है पर पर्याप्त नहीं, complexity analysis के साथ persisted queries ही असली उत्तर है — और प्रति-resolver authorization का अनुशासन।

खतरा: unbounded queries

बचाव

Auth

यह क्यों महत्वपूर्ण है

संबंधित प्रश्न