Bagaimana cara mengamankan sebuah GraphQL API dari query yang menyalahgunakan (abusive)?

Question

IT Interview Practice · Accepted Answer

Fleksibilitas yang membuat GraphQL kuat juga menjadikannya **permukaan DoS**: sebuah client bisa membuat query yang bersarang dalam atau meminta list raksasa dalam satu panggilan. Anda bertahan secara berlapis — **depth limit, complexity/cost analysis, rate limiting, dan auth yang benar** — tak satu pun dipaksakan oleh query language untuk Anda.

## Ancamannya: query tak terbatas

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Pertahanan

- **Depth limiting** — tolak query yang bersarang melampaui, katakanlah, 7 level. Baris pertahanan pertama yang murah.
- **Cost/complexity analysis** — beri setiap field sebuah biaya, bobot field list menurut argumen `first`-nya, dan tolak sebelum eksekusi jika totalnya melampaui budget. Lebih kuat daripada depth mentah karena ia memperhitungkan lebar (breadth) list.
- **Rate limiting** — budget per-client, idealnya pada **biaya query** (bukan sekadar jumlah request), sehingga satu query mahal dihitung sebagai banyak.
- **Persisted/allow-listed query** — di produksi, terima hanya sekumpulan query yang telah teregistrasi; query ad-hoc sembarang ditolak, sehingga menghapus sebagian besar vektor injeksi/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

Autentikasi sekali (validasi token di `context`), lalu **otorisasi per field/resolver** — jangan pernah percaya client akan menghilangkan field. Lakukan pemeriksaan di resolver atau lapisan seperti GraphQL Shield, dan **jangan pernah mengekspos introspection schema** atau stack trace yang verbose di produksi.

## Mengapa ini penting

Endpoint REST secara alami terbatas; satu query GraphQL tidak. Interviewer senior menginginkan pola pikir **berbasis biaya (cost-based)** — depth itu perlu tetapi tidak cukup, complexity analysis ditambah persisted query adalah jawaban yang sebenarnya — dan disiplin otorisasi per-resolver.

Ancamannya: query tak terbatas

Pertahanan

Auth

Mengapa ini penting

Pertanyaan terkait