Hogyan véded meg egy GraphQL API-t a visszaélésszerű lekérdezésekkel szemben?

Question

IT Interview Practice · Accepted Answer

Ugyanaz a rugalmasság, amely erőssé teszi a GraphQL-t, **DoS-felületté** is teszi: egy kliens egyetlen hívásban mélyen beágyazhat egy lekérdezést, vagy hatalmas listákat kérhet. Rétegekben védekezel — **mélységi limitek, komplexitás/költség elemzés, rate limiting és megfelelő auth** —, amelyek közül egyiket sem kényszeríti ki helyetted maga a lekérdezőnyelv.

## A fenyegetés: korlátlan lekérdezések

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Védekezés

- **Mélységi limitálás** — utasítsd el a mondjuk 7 szintnél mélyebbre beágyazott lekérdezéseket. Olcsó első védvonal.
- **Költség/komplexitás elemzés** — rendelj minden mezőhöz költséget, súlyozd a lista mezőket a `first` argumentumuk szerint, és utasítsd el a végrehajtás előtt, ha az összeg meghaladja a budgetet. Erősebb, mint a nyers mélység, mert figyelembe veszi a listák szélességét.
- **Rate limiting** — kliensenkénti budgetek, ideális esetben a **lekérdezés költsége** alapján (nem csak a kérések száma szerint), így egy drága lekérdezés soknak számít.
- **Persisted / allow-listed lekérdezések** — éles környezetben csak egy előre regisztrált lekérdezéskészletet fogadj el; a tetszőleges ad-hoc lekérdezéseket elutasítod, kiiktatva a legtöbb injection/DoS vektort.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

Hitelesíts egyszer (validáld a tokent a `context`-ben), majd **autorizálj mezőnként/resolverenként** — soha ne bízz abban, hogy a kliens majd elhagy mezőket. Az ellenőrzéseket a resolverekben vagy egy olyan rétegben végezd, mint a GraphQL Shield, és **soha ne tedd elérhetővé az introspection sémát** vagy a részletes stack trace-eket éles környezetben.

## Miért fontos

A REST endpointok természetüknél fogva korlátozottak; egyetlen GraphQL lekérdezés nem az. A senior interjúztatók a **költség-alapú** szemléletet szeretnék — a mélység szükséges, de nem elégséges, a komplexitás-elemzés plusz a persisted query-k a valódi válasz —, valamint a resolverenkénti autorizáció fegyelmét.

A fenyegetés: korlátlan lekérdezések

Védekezés

Auth

Miért fontos

Kapcsolódó kérdések