Kif tissigura API GraphQL kontra queries abbużivi?

Question

IT Interview Practice · Accepted Answer

Il-flessibbiltà li tagħmel GraphQL b'saħħtu tagħmlu wkoll **wiċċ ta' DoS**: klijent jista' jgħaqqad query fil-fond jew jitlob lists enormi f'sejħa waħda. Tiddefendi f'saffi — **depth limits, analiżi tal-kumplessità/cost, rate limiting, u auth xierqa** — li ħadd minnhom il-lingwaġġ tal-query ma jinforzah għalik.

## It-theddida: queries mingħajr limiti

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Difiżi

- **Depth limiting** — iċħad queries nested lil hinn minn, ngħidu, 7 livelli. L-ewwel linja ta' difiża rħisa.
- **Cost/complexity analysis** — assenja cost lil kull field, iżen il-list fields skont l-argument `first` tagħhom, u ċħad qabel l-eżekuzzjoni jekk it-total jaqbeż baġit. Aktar b'saħħtu mid-depth pura għax iqis il-wisa' tal-lists.
- **Rate limiting** — baġits per-client, idealment fuq il-**query cost** (mhux biss l-għadd ta' requests), biex query waħda għalja tgħodd bħala ħafna.
- **Persisted/allow-listed queries** — fil-produzzjoni, aċċetta biss sett ta' queries irreġistrati minn qabel; queries ad-hoc arbitrarji jiġu miċħuda, u jeliminaw il-parti l-kbira tal-vetturi ta' injection/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

Awtentika darba (ivvalida t-token fil-`context`), imbagħad **awtorizza per field/resolver** — qatt tafda lill-klijent biex iħalli barra fields. Agħmel il-verifiki fir-resolvers jew f'saff bħal GraphQL Shield, u **qatt tesponi l-introspection schema** jew stack traces verboża fil-produzzjoni.

## Għaliex huwa importanti

L-endpoints ta' REST huma naturalment limitati; query waħda ta' GraphQL mhijiex. L-intervistaturi senior iridu l-mentalità **ibbażata fuq il-cost** — id-depth huwa meħtieġ imma insuffiċjenti, l-analiżi tal-kumplessità flimkien ma' persisted queries hija t-tweġiba reali — u d-dixxiplina tal-awtorizzazzjoni per-resolver.

It-theddida: queries mingħajr limiti

Difiżi

Auth

Għaliex huwa importanti

Mistoqsijiet relatati