Kaip apsaugoti GraphQL API nuo piktnaudžiaujančių užklausų?

Question

IT Interview Practice · Accepted Answer

Lankstumas, dėl kurio GraphQL yra galingas, taip pat paverčia jį **DoS paviršiumi**: klientas gali giliai įdėti užklausą arba vienu kvietimu paprašyti didžiulių sąrašų. Ginatės sluoksniais — **gylio ribojimu, sudėtingumo/kainos analize, greičio ribojimu ir tinkama autentifikacija** — nė vieno iš kurių užklausų kalba už jus neužtikrina.

## Grėsmė: neapribotos užklausos

```graphql
# Kenkėjiška ciklinė užklausa: kiekvienas lygis eksponentiškai didina darbą
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Gynyba

- **Gylio ribojimas** (depth limiting) — atmesti užklausas, įdėtas giliau nei, tarkime, 7 lygiai. Pigi pirmoji gynybos linija.
- **Kainos/sudėtingumo analizė** — priskirkite kiekvienam laukui kainą, sąrašo laukus pasverkite pagal jų `first` argumentą ir atmeskite prieš vykdymą, jei suma viršija biudžetą. Stipresnė nei vien gylis, nes atsižvelgia į sąrašų plotį.
- **Greičio ribojimas** (rate limiting) — kiekvienam klientui skirti biudžetai, geriausiai pagal **užklausos kainą** (o ne vien kvietimų skaičių), kad viena brangi užklausa būtų skaičiuojama kaip daug.
- **Persisted / allow-listed užklausos** — produkcijoje priimkite tik iš anksto užregistruotą užklausų rinkinį; savavališkos ad-hoc užklausos atmetamos, taip pašalinant daugumą injekcijos/DoS vektorių.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // blokuoti gilų įdėjimą
    costAnalysis({ maximumCost: 1000 }),            // blokuoti plačias/brangias užklausas prieš vykdymą
  ],
});
```

## Autentifikacija

Autentifikuokite vieną kartą (patikrinkite žetoną `context`), tada **autorizuokite kiekviename lauke/resolveryje** — niekada nepasitikėkite, kad klientas praleis laukus. Tikrinkite resolveriuose arba tokiame sluoksnyje kaip GraphQL Shield, ir **niekada neatskleiskite introspekcijos schemos** ar išsamių stack trace produkcijoje.

## Kodėl tai svarbu

REST endpointai natūraliai apriboti; viena GraphQL užklausa — ne. Senior interviuotojai nori **kaina grįstos** mąstysenos — gylis būtinas, bet nepakankamas, sudėtingumo analizė plius persisted queries yra tikrasis atsakymas — ir disciplinos autorizuoti kiekviename resolveryje.

Grėsmė: neapribotos užklausos

Gynyba

Autentifikacija

Kodėl tai svarbu

Susiję klausimai