गैरवापर करणाऱ्या (abusive) queries विरुद्ध तुम्ही GraphQL API कसे सुरक्षित करता?

Question

IT Interview Practice · Accepted Answer

GraphQL ला शक्तिशाली बनवणारी लवचिकताच त्याला एक **DoS surface** सुद्धा बनवते: client एखादी query खोलवर nest करू शकतो किंवा एकाच call मध्ये प्रचंड lists मागू शकतो. तुम्ही स्तरांमध्ये बचाव करता — **depth limits, complexity/cost analysis, rate limiting, आणि योग्य auth** — यांपैकी काहीही query language तुमच्यासाठी लागू करत नाही.

## धोका: unbounded queries

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## बचाव

- **Depth limiting** — समजा 7 पातळ्यांपेक्षा जास्त nested queries नाकारा. स्वस्त पहिली बचावफळी.
- **Cost/complexity analysis** — प्रत्येक field ला एक cost नेमून द्या, list fields ना त्यांच्या `first` argument नुसार weight द्या, आणि एकूण budget ओलांडल्यास execution आधीच नाकारा. raw depth पेक्षा हे बळकट आहे कारण ते list ची रुंदी विचारात घेते.
- **Rate limiting** — per-client budgets, आदर्शतः **query cost** वर (फक्त request count नव्हे), जेणेकरून एक महागडी query अनेक म्हणून मोजली जाईल.
- **Persisted/allow-listed queries** — production मध्ये, फक्त आधीच नोंदणीकृत queries चा संच स्वीकारा; अनियंत्रित ad-hoc queries नाकारल्या जातात, ज्यामुळे बहुतांश injection/DoS मार्ग नाहीसे होतात.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

एकदाच authenticate करा (`context` मध्ये token validate करा), मग **प्रत्येक field/resolver नुसार authorize करा** — client fields वगळेल यावर कधीही विश्वास ठेवू नका. Resolvers मध्ये किंवा GraphQL Shield सारख्या layer मध्ये तपासण्या करा, आणि production मध्ये **introspection schema किंवा तपशीलवार stack traces कधीही उघड करू नका**.

## हे का महत्त्वाचे आहे

REST endpoints नैसर्गिकरित्या मर्यादित असतात; एकच GraphQL query तशी नसते. Senior interviewers ना **cost-आधारित** मानसिकता हवी असते — depth आवश्यक आहे पण अपुरी आहे, complexity analysis अधिक persisted queries हे खरे उत्तर आहे — आणि per-resolver authorization ची शिस्त.

धोका: unbounded queries

बचाव

Auth

हे का महत्त्वाचे आहे

संबंधित प्रश्न