Kako osigurati GraphQL API od zloćudnih upita?

Question

IT Interview Practice · Accepted Answer

Fleksibilnost koja GraphQL čini moćnim ujedno ga čini i **površinom za DoS**: klijent može duboko ugnijezditi upit ili zatražiti ogromne liste u jednom pozivu. Branite se u slojevima — **ograničenja dubine, analiza složenosti/cijene, ograničavanje brzine i ispravna autentifikacija** — ništa od čega jezik upita ne provodi umjesto vas.

## Prijetnja: neograničeni upiti

```graphql
# Zloćudni ciklički upit: svaka razina eksponencijalno umnožava posao
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Obrane

- **Ograničavanje dubine** — odbijte upite ugniježđene dublje od, recimo, 7 razina. Jeftina prva linija obrane.
- **Analiza cijene/složenosti** — dodijelite svakom polju cijenu, ponderirajte polja lista prema njihovom `first` argumentu i odbijte prije izvršavanja ako ukupno prekoračuje proračun. Jače od same dubine jer uzima u obzir širinu listi.
- **Ograničavanje brzine** — proračuni po klijentu, idealno na **cijenu upita** (ne samo broj zahtjeva), pa se jedan skup upit broji kao mnogo njih.
- **Persisted/dopušteni upiti (allow-list)** — u produkciji prihvaćajte samo unaprijed registrirani skup upita; proizvoljni ad-hoc upiti se odbijaju, čime se eliminira većina vektora injekcije/DoS-a.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // blokiraj duboko ugnježđivanje
    costAnalysis({ maximumCost: 1000 }),            // blokiraj široke/skupe upite prije izvršavanja
  ],
});
```

## Autentifikacija i autorizacija

Autentificirajte jednom (validirajte token u `context`), zatim **autorizirajte po polju/resolveru** — nikad se ne pouzdajte da će klijent izostaviti polja. Provjere radite u resolverima ili sloju poput GraphQL Shielda i **nikad ne izlažite introspekcijsku shemu** ni opširne stack traceove u produkciji.

## Zašto je to važno

REST krajnje točke prirodno su ograničene; jedan GraphQL upit nije. Seniorski ispitivači žele način razmišljanja **temeljen na cijeni** — dubina je nužna, ali nedovoljna, analiza složenosti uz persisted queries pravi je odgovor — te disciplinu autorizacije po resolveru.

Prijetnja: neograničeni upiti

Obrane

Autentifikacija i autorizacija

Zašto je to važno

Povezana pitanja