როგორ იცავ GraphQL API-ს მავნე query-ებისგან?

Question

IT Interview Practice · Accepted Answer

მოქნილობა, რომელიც GraphQL-ს ძლიერს ხდის, ასევე **DoS ზედაპირად** აქცევს მას: კლიენტს შეუძლია query ღრმად ჩააგნოს ან ერთ გამოძახებაში უზარმაზარი სიები მოითხოვოს. თავს ფენებით იცავ — **depth limits, complexity/cost analysis, rate limiting და სათანადო auth** — რომელთაგან არცერთს query ენა შენ ნაცვლად არ ახორციელებს.

## საფრთხე: შეუზღუდავი query-ები

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## თავდაცვები

- **Depth limiting** — უარყავი query-ები, რომლებიც, ვთქვათ, 7 დონეზე ღრმად არის ჩაგნული. იაფი პირველი თავდაცვა.
- **Cost/complexity analysis** — თითო ველს მიანიჭე ღირებულება, სია-ველები აწონე მათი `first` არგუმენტით და უარყავი შესრულებამდე, თუ ჯამი ბიუჯეტს გადააჭარბებს. ეს უფრო ძლიერია, ვიდრე მხოლოდ depth, რადგან სიის სიგანესაც ითვალისწინებს.
- **Rate limiting** — თითო კლიენტის ბიუჯეტი, იდეალურად **query-ს ღირებულებაზე** (და არა მხოლოდ request-ების რაოდენობაზე), ისე რომ ერთი ძვირი query ბევრად ჩაითვალოს.
- **Persisted/allow-listed queries** — production-ში მიიღე მხოლოდ წინასწარ დარეგისტრირებული query-ების ნაკრები; ნებისმიერი ad-hoc query უარიყოფა, რაც injection/DoS ვექტორების უმეტესობას აღმოფხვრის.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

ავთენტიფიცირება ერთხელ (token-ის ვალიდაცია `context`-ში), შემდეგ **ავტორიზაცია თითო ველზე/resolver-ზე** — არასოდეს ენდო კლიენტს, რომ ველებს გამოტოვებს. შემოწმებები resolver-ებში ან ისეთ ფენაში გააკეთე, როგორიც GraphQL Shield-ია, და **არასოდეს გამოაჩინო introspection schema** ან ვრცელი stack trace-ები production-ში.

## რატომ არის ეს მნიშვნელოვანი

REST endpoint-ები ბუნებრივად შემოსაზღვრულია; ერთი GraphQL query კი — არა. senior ინტერვიუერებს **ღირებულებაზე დაფუძნებული** აზროვნება უნდათ — depth აუცილებელია, მაგრამ არასაკმარისი, complexity analysis პლუს persisted queries ნამდვილი პასუხია — და თითო resolver-ის ავტორიზაციის დისციპლინა.

საფრთხე: შეუზღუდავი query-ები

თავდაცვები

Auth

რატომ არის ეს მნიშვნელოვანი

დაკავშირებული კითხვები