Bagaimana anda menjamin keselamatan API GraphQL daripada pertanyaan yang mengabusifkan?

Question

IT Interview Practice · Accepted Answer

Fleksibiliti yang menjadikan GraphQL berkuasa juga menjadikannya **permukaan DoS**: klien boleh menyarangkan pertanyaan dengan mendalam atau meminta senarai yang besar dalam satu panggilan. Anda mempertahankan secara berlapis — **had kedalaman, analisis kerumitan/kos, penghadan kadar, dan auth yang betul** — yang tiada satu pun dikuatkuasakan untuk anda oleh bahasa pertanyaan.

## Ancaman: pertanyaan tanpa had

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Pertahanan

- **Penghadan kedalaman (depth limiting)** — tolak pertanyaan yang bersarang melebihi, katakan, 7 peringkat. Barisan pertahanan pertama yang murah.
- **Analisis kos/kerumitan** — berikan setiap medan satu kos, timbang medan senarai mengikut argumen `first`-nya, dan tolak sebelum pelaksanaan jika jumlahnya melebihi bajet. Lebih kuat daripada kedalaman semata-mata kerana ia mengambil kira keluasan senarai.
- **Penghadan kadar (rate limiting)** — bajet per-klien, sebaik-baiknya berdasarkan **kos pertanyaan** (bukan sekadar bilangan permintaan), supaya satu pertanyaan mahal dikira sebagai banyak.
- **Persisted/allow-listed queries** — dalam produksi, terima hanya satu set pertanyaan yang telah didaftarkan; pertanyaan ad-hoc sewenang-wenangnya ditolak, menghapuskan kebanyakan vektor suntikan/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

Sahkan sekali (validasi token dalam `context`), kemudian **beri kebenaran per medan/resolver** — jangan sekali-kali percaya klien akan meninggalkan medan. Lakukan pemeriksaan dalam resolver atau lapisan seperti GraphQL Shield, dan **jangan sekali-kali dedahkan skema introspection** atau jejak tindanan (stack trace) yang berjela-jela dalam produksi.

## Mengapa ia penting

Endpoint REST secara semula jadi terbatas; satu pertanyaan GraphQL tunggal tidak. Penemu duga peringkat kanan mahukan minda **berasaskan kos** — kedalaman perlu tetapi tidak mencukupi, analisis kerumitan berserta persisted queries ialah jawapan sebenar — dan disiplin pemberian kebenaran per-resolver.

Ancaman: pertanyaan tanpa had

Pertahanan

Auth

Mengapa ia penting

Soalan berkaitan